SSRF Cloud Metadata: Доступ к метаданным облака

# SSRF: доступ к метаданным инстанса через неполную фильтрацию ## Сценарий Вы аудируете **AuroraDeploy** — платформу предпросмотра ссылок, развёрнутую в облаке. Пользователь передаёт URL, сервер скачивает страницу и показывает содержимое. После прошлого инцидента команда добавила фильтр: обращения к loopback-адресам блокируются. В учебном кластере лабы облачный **Instance Metadata Service** эмулируется служебным эндпоинтом самого приложения — как в реальном облаке, он отдаёт данные «инстанса», включая секрет. Требуется добраться до него через предпросмотр, несмотря на фильтр. ## Цель 1. Подтвердите, что прямое обращение к приложению через loopback-адрес действительно блокируется фильтром. 2. Определите, какие классы «внутренних» адресов фильтр не покрывает, и найдите запись, которая приводит запрос в тот же процесс, но loopback-ом не считается. 3. Обратитесь к эндпоинту метаданных через предпросмотр и извлеките флаг из служебного ответа. ## Теория В облачных средах каждый инстанс может обращаться к **Instance Metadata Service** — служебному HTTP-интерфейсу по фиксированному link-local адресу. IMDS отдаёт IAM-токены, ключи и конфигурацию без аутентификации: единственная защита — доступность только изнутри инстанса. SSRF превращает функцию предпросмотра в окно к метаданным. **Уязвимый паттерн:** ```go ip := net.ParseIP(host) if host == "localhost" || (ip != nil && ip.IsLoopback()) { http.Error(w, "Access denied: localhost is blocked", http.StatusForbidden) ``` Фильтр покрывает только loopback. Остальные зарезервированные классы — приватные диапазоны, link-local, включая адрес метаданных, и «неопределённый» адрес — проходят проверку. При этом «неопределённый» адрес и сокращённые записи маршрутизируются в тот же локальный процесс: подключение достигает приложения, минуя блокировку. ## Точка входа атаки `GET /url-preview` — параметр `url`; авторизация не требуется. * **Цель:** эндпоинт метаданных — служебный маршрут приложения, отдающий данные «инстанса» с флагом * **Флаг:** секретное поле в JSON-ответе эндпоинта метаданных