SSRF란?

SSRF(Server-Side Request Forgery)는 서버 측 요청 위조라는 의미로,
공격자가 서버의 취약한 부분을 액세스하여 공격하는 기법을 말합니다.
공격자는 이를 통해 시스템의 정보를 탈취하거나, 시스템을 조작하는 등의 악의적인 행동을 할 수 있습니다.
이러한 공격은 대체로 웹 애플리케이션이 사용자로부터 URL을 받아 그 URL에 요청을 보내는 경우에 발생합니다.

SSRF(Server-Side Request Forgery) 대표적인 공격 시나리오를 표현하면 아래와 같습니다.

1. 공격자(Attacker)가 취약한 서버(Server)에 악의적인 URL을 보냅니다.
2. 서버는 이 URL에 요청(request)을 보냅니다.
3. 내부 시스템(InternalSystem)은 이 요청에 대한 응답(response)을 서버에 보냅니다.
4. 서버는 이 응답을 공격자에게 보냅니다.
5. 이런 방식으로 공격자는 내부 시스템에 대한 정보를 얻거나 조작할 수 있습니다.

SSRF 예제 / 공격 실습1

1.c:\file폴더를 넣어주고, test.txt을 만들어줍니다.

2.c:\에 no.txt 파일을 만들어줍니다.

3.c:\에 아래 내용으로 test.py 파일을 만들어주고, python test.py 와 같이 명령어를 실행해줍니다.
그러면 flask 웹 서버가 뜨게 됩니다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

from flask import Flask, request, send_file
import urllib.request


app = Flask(__name__)

@app.route('/')
def helloworld():
    return 'use /file?filename='

@app.route('/file')
def get_url():
    filename = request.args.get('filename', '')

    if filename:
        path = 'c:\\file\\'
        return send_file(path+filename, as_attachment=True)

    return "no param"

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8000, debug=True)

4. 웹브라우저에서 http://127.0.0.1:8000/file?filename=test.txt 를 입력하면
   C:\file 아래에 있는 test.txt파일이 다운 됩니다.
   개발자의 의도는 사용자가 파일이름을 요청하면, c:\file에 있는 파일을 다운로드 받게 하는 것이지요.

5. 하지만, 악의적인 사용자가 아래와 같이 ../no.txt를 요청한다면 c:\file 밖에 있는 파일도 접근가능한 것을 확인할 수 있습니다.
   http://127.0.0.1:8000/file?filename=../no.txt
   악의적인요청으로 서버의 취약점을 파고드는 이것이 SSRF입니다.

SSRF 예제 / 공격 실습2

SSRF의 대표적인 사례로는 sql injection이 있습니다.
아래와 같이 userlevel 1인 사용자를 insert하는 로직이 있다고 칩시다.
일반적인경우 username = “james” 와 같이 parameter를 입력해주면
INSERT INTO USER(username, userlevel) VALUES(‘james’, 1) 가 실행이 됩니다.

1
2
3
4
5
6
7
8

@app.route('/insert')
def get_url():
    username = request.args.get('username', '')
 sql = "INSERT INTO USER(username, userlevel) VALUES('"+username+"', 1)"
 database.execute(sql)
    return "ok"

만일, 악의적인 사용자가 /insert?username=james’,2)– 와 같이 입력하면 어떻게 될까요?
내부적으로 sql은 아래와 같이 변환이 됩니다.

1

INSERT INTO USER(username, userlevel) VALUES('james',2)--', 1)" 

‘–’ 부분이후로는 주석이 됨으로써, james라는 사용자는 level이 2가 됩니다.

SSRF 대응방안

1. URL 필터링: 서버가 내부 URL로의 요청을 보내지 않도록 필터링 합니다.
   가능한 경우 외부 URL로의 요청도 제한할 수 있습니다.

2. 입력 검증: 사용자로부터 받은 입력을 꼼꼼히 검증합니다.

3. 네트워크 분리: 내부 시스템과 외부 시스템을 물리적으로 분리하거나,
   방화벽 등을 이용해 두 시스템 간의 통신을 제한합니다.

4. 최소 권한 원칙: 시스템이 가진 권한을 최소한으로 하여, 공격자가 시스템을 조작하는 것을 방지합니다.

5. 보안 패치 및 업데이트: 시스템의 보안 패치와 업데이트를 꾸준히 진행하여, 새로운 보안 취약점을 미리 차단합니다.

6. 보안 교육: 개발자 및 운영자에게 SSRF 공격에 대한 이해를 높이고, 보안을 고려한 개발 및 운영 방법을 교육합니다.

SSRF / CSRF 차이

https://devscb.com/post/123 에서 CSRF가 무엇인지 설명을 하였었습니다.

SSRF와 CSRF를 비교하면 아래와 같이 표현할 수 있습니다.