Falsificazione delle richieste lato server

Cos’è Falsificazione delle richieste lato server?

L'applicazione recupera un URL fornito da un utente e nessuno controlla dove punta. Quella richiesta parte dall'interno della tua rete, quindi l'attaccante eredita la posizione del server. Indirizzerai una funzionalità di anteprima del collegamento al servizio di metadati cloud sul suo indirizzo locale di collegamento fisso, rileggerai le credenziali del ruolo associato dell'istanza ed elencherai un negozio pieno di fatture dei clienti con esse. Quindi risolvi l'host e rifiuti gli intervalli privati, loopback e link-local, ricontrollando dopo i reindirizzamenti, con i metadati richiesti dal token (IMDSv2) e i ruoli con privilegi minimi sottostanti.

Cosa imparerai in Falsificazione delle richieste lato server

• Spiegare la falsificazione delle richieste lato server: un'app che recupera un URL fornito dall'utente consente a un utente malintenzionato di fare in modo che il server raggiunga i sistemi che l'utente malintenzionato non può raggiungere direttamente
• Riconoscere il servizio di metadati cloud su 169.254.169.254 come endpoint di emissione di credenziali che un SSRF può raggiungere anche se un utente malintenzionato esterno non può
• Traccia come una funzionalità benigna di anteprima dei collegamenti diventa una catena completa di furto di credenziali ed esfiltrazione di dati quando la destinazione di recupero non viene mai convalidata
• Distinguere la convalida della destinazione (risolvere l'host, negare gli intervalli privati e locali del collegamento, ricontrollare dopo i reindirizzamenti) dalle blocklist di stringhe fragili e spiegare perché vale solo la prima
• Associa la correzione del codice a una difesa approfondita: metadati dell'istanza con token richiesto (IMDSv2), ruoli dell'istanza con privilegi minimi e avvisi su un utente di recupero che tocca lo spazio di archiviazione sensibile

Falsificazione delle richieste lato server — Fasi della formazione

1. La funzione di anteprima

   Corveil consente a chiunque di incollare un collegamento e ottenere una scheda di anteprima ordinata, il titolo della pagina e l'immagine, pronti per essere inseriti in un messaggio. L'anteprima non è creata nel browser: i server di Corveil recuperano il collegamento. Bob apre la funzione per vedere come funziona prima di toccarla.

2. Da dove arriva la richiesta

   Un dettaglio in quella pagina è l'intera ragione per cui Bob è interessato.

3. Utilizza la funzione

   Guarda la funzione comportarsi normalmente. Incolla un normale articolo di notizie e genera un'anteprima, in modo che la pagina faccia una richiesta reale che Bob possa esaminare.

4. Trova il punto finale

   La richiesta è stata inviata e il browser l'ha registrata. Apri il pannello Rete e leggi dove la pagina lo ha effettivamente inviato.

5. Puntalo verso l'interno

   Bob ricostruisce la richiesta nell'API Tester in modo da poter puntare l' url ovunque desideri. E il server recupererà qualunque indirizzo gli fornisca, anche quelli che lui stesso non potrebbe mai raggiungere. Ogni server cloud dispone di un servizio di metadati presso un indirizzo interno fisso che distribuisce le credenziali del ruolo collegato a quel server. È pensato per l'uso personale del server e non controlla mai chi sta chiedendo. Bob ha solo bisogno che l'addetto alle anteprime di Corveil glielo raggiunga.

6. Raggiungi il servizio metadati

   Ricostruisci la richiesta di anteprima nell'API Tester, ma indirizza url al percorso delle credenziali dei metadati invece che a un articolo di notizie. L'operatore di Corveil lo recupera dall'interno della rete e restituisce tutto ciò che ottiene.

7. Credenziali alla mano

   La risposta non è un'anteprima. Si tratta di un insieme di credenziali attive per il ruolo cloud del lavoratore di anteprima.

8. Firma una richiesta con la chiave rubata

   La memoria interna di Corveil si fida di una richiesta firmata. Bob ne firma uno con AccessKeyId che ha appena estratto dal servizio di metadati ed elenca il contenitore che contiene le fatture dei clienti, un luogo che normalmente nessun utente esterno può raggiungere.

9. I dati sono spariti

   Nomi, importi e ID fattura, oltre quarantamila record di clienti, raggiunti tramite una funzionalità destinata a visualizzare in anteprima un collegamento.

10. Verifica della conoscenza

    Hai appena visto una funzionalità di anteprima del collegamento perdere le credenziali del server e quindi i suoi dati. Blocca il perché.