Карточка Middle SSRF, файлы и редиректы обновлено
Защита от SSRF
Вопрос
Перечислите меры защиты функции «скачать по URL» от SSRF.
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Allowlist доменов, если возможно; только http и https и нужные порты; резолвить и проверять IP (не приватный, не loopback, не link-local), подключаться к проверенному IP; не следовать редиректам или проверять каждый; egress-прокси без доступа во внутреннюю сеть; IMDSv2 и минимальные права роли; не возвращать сырой…
Ответ
Allowlist доменов, если возможно; только http и https и нужные порты; резолвить и проверять IP (не приватный, не loopback, не link-local), подключаться к проверенному IP; не следовать редиректам или проверять каждый; egress-прокси без доступа во внутреннюю сеть; IMDSv2 и минимальные права роли; не возвращать сырой ответ.
Разбор
Самая надёжная мера сетевая: сервис, который ходит наружу, физически не видит внутреннюю сеть.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.