Карточка Middle Безопасность бэкенда обновлено
SSRF
Вопрос
Что такое SSRF?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Server-Side Request Forgery: сервер делает запрос по адресу, который подсунул пользователь (например, «загрузить аватар по URL»), и ходит во внутреннюю сеть, к админкам или к сервису метаданных облака. Защита: белый список доменов, проверка итогового IP после DNS, запрет приватных диапазонов и редиректов.
Ответ
Server-Side Request Forgery: сервер делает запрос по адресу, который подсунул пользователь (например, «загрузить аватар по URL»), и ходит во внутреннюю сеть, к админкам или к сервису метаданных облака. Защита: белый список доменов, проверка итогового IP после DNS, запрет приватных диапазонов и редиректов.
Разбор
Опасно тем, что сервер имеет доступ туда, куда пользователь сам не достанет.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Термины по теме
Ещё по теме «Безопасность бэкенда»
- Безопасный INSERT: параметры и белый список колонок
- CORS: проверка Origin по белому списку
- Проверка claims JWT после подписи
- deepMerge без prototype pollution
- Rate limiter на token bucket
- Кто превысил лимит запросов: скользящее окно
- Код-ревью: регистрация, вход и сброс пароля
- Как защитить Node.js API