تزوير الطلبات من جهة الخادم SSRF

الصياغة

قبل الجلب: تحقق من المضيف مقابل Allowlist صريح، لا Blocklist

📄 مثال

// سيئ — يجلب أي رابط يرسله المستخدم
app.post('/api/fetch-image', async (req, res) => {
  const response = await fetch(req.body.url);
  res.send(await response.buffer());
});
// المهاجم يرسل: { "url": "http://169.254.169.254/latest/meta-data/iam/security-credentials/" }

// جيد — allowlist للمضيفين + منع عناوين داخلية + تعطيل التحويلات
const ALLOWED_HOSTS = ['images.trusted-cdn.com'];
app.post('/api/fetch-image', async (req, res) => {
  const url = new URL(req.body.url);
  if (!ALLOWED_HOSTS.includes(url.hostname)) {
    return res.status(400).json({ error: 'مضيف غير مسموح' });
  }
  const response = await fetch(url, { redirect: 'manual' }); // بلا تتبع تحويلات
  res.send(await response.buffer());
});

أهم النقاط

💡 نصائح عملية

• لا ترجع محتوى استجابة الجلب كما هو للعميل — قد يسرّب معلومات عن الشبكة الداخلية حتى لو منعت الطلب الأول

⚠️ أخطاء شائعة

• الاعتماد على Blocklist لعناوين IP داخلية بدل Allowlist — يمكن تجاوزها بترميز الرابط أو تحويلات DNS

خصائص ذات صلة