如何緩解 Go 中的 SSRF 漏洞-Golang-PHP中文網

How to mitigate SSRF vulnerabilities in Go

在開發 Go 應用程式以防止伺服器端請求偽造 (SSRF) 等漏洞時，保護 HTTP 請求至關重要。當攻擊者操縱伺服器發出無意的請求，可能存取內部服務或敏感資料時，就會發生 SSRF。

我們將探索如何透過使用 URL 解析和驗證技術來保護 HTTP 請求，並提供範例程式碼來強化 http.Get HTTP GET 請求處理程序。

向使用者自己的網域發送 HTTP 請求以取得映像的 HTTP 路由處理程序程式碼如下（為簡潔起見），位於名為 downloadAndResize 的函數中：

func downloadAndResize(tenantID, fileID, fileSize string) error {
    // ...

    downloadResp, err := http.Get(info.Download)
    if (err != nil) {
        panic(err)
    }

    // ...
}

登入後複製

緩解 Go 程式碼中的 SSRF 漏洞

為了緩解 Go 應用程式中的 SSRF 漏洞，開發人員應該專注於驗證和清理輸入，並了解如何以不操縱結果領域的方式安全地建構 URL。

SSRF 攻擊通常利用輸入驗證不足的情況，允許攻擊者操縱 URL 並將請求重定向到非預期目的地。透過實施強大的輸入驗證和清理，開發人員可以顯著降低 SSRF 攻擊的風險。

實作tenantID和fileID的輸入驗證

在我們易受攻擊的 Go 應用程式中，tenantID 和 fileID 是從查詢字串中提取的，無需任何驗證。缺乏驗證為 SSRF 攻擊打開了大門。

讓我們考慮以下實作輸入驗證的 Go 程式碼，以確保這些參數可以安全使用：

func isValidTenantID(tenantID string) bool {
    // Implement a regex pattern to validate tenantID format
    // Example: only allow alphanumeric characters
    validTenantIDPattern := `^[a-zA-Z0-9]+$`
    matched, _ := regexp.MatchString(validTenantIDPattern, tenantID)
    return matched
}

func isValidFileID(fileID string) bool {
    // Implement a regex pattern to validate fileID format
    // Example: only allow alphanumeric characters and hyphens
    validFileIDPattern := `^[a-zA-Z0-9-]+$`
    matched, _ := regexp.MatchString(validFileIDPattern, fileID)
    return matched
}

登入後複製

限制對受信任主機的出站請求的重要性

緩解 SSRF 漏洞的另一個有效策略是限制對受信任主機的出站請求。這可以透過維護允許的主機白名單並驗證每個請求的目標主機是否在此清單中來實現。

以下是如何在 downloadAndResize 函數中實作主機限制的範例：

func isTrustedHost(host string) bool {
    // Define a list of trusted hosts
    trustedHosts := []string{"localtest.me", "example.com"}
    for _, trustedHost := range trustedHosts {
        if host == trustedHost {
            return true
        }
    }
    return false
}

func downloadAndResize(tenantID, fileID, fileSize string) error {
    urlStr := fmt.Sprintf("http://%s.%s/storage/%s.json", tenantID, baseHost, fileID)
    parsedURL, err := url.Parse(urlStr)
    if err != nil {
        panic(err)
    }

    if !isTrustedHost(parsedURL.Hostname()) {
        return fmt.Errorf("untrusted host: %s", parsedURL.Hostname())
    }

    // Proceed with the rest of the function
    // ...
}

登入後複製

透過實施允許的主機限製作為安全控制，我們確保 Go 應用程式僅向預先定義且受信任的主機的封閉清單發送 HTTP 請求，從而進一步減少 SSRF 攻擊的影響。