SSRF: эксфильтрация облачных credentials через метаданные

# SSRF: обход фильтра через сервис метаданных облака ## Сценарий Маркетплейс-агрегатор **«Терра-Юнион»** переехал в облако и открыл функцию «сравнение цен»: покупатель подаёт ссылку на страницу чужого магазина, а сервер на Express скачивает её и показывает содержимое. Разработчик знал про SSRF и поставил фильтр — обращения к «локальным» адресам отвергаются. Комплаенс-аудитор запросил независимую проверку защиты, и вам достался этот контур. ## Цель 1. Войдите как обычный пользователь, найдите форму сравнения цен и убедитесь, что обращения к loopback-адресам фильтр действительно блокирует. 2. Определите, какие классы «внутренних» адресов фильтр пропускает, и найдите среди них тот, по которому отвечает сервис метаданных облака. 3. Через непокрытый класс обратитесь к сервису метаданных и извлеките флаг из его ответа. ## Теория Защита от SSRF по списку сетей работает только тогда, когда список полон. Уязвимый фильтр знает один класс «внутренних» адресов и пропускает остальные: приватные сети, link-local, зарезервированные диапазоны. **Уязвимый паттерн:** ```js // фильтр отвергает только loopback-класс адресов if (isLoopbackIp(ip)) return false; // link-local и приватные проходят дальше ``` В облачных средах по link-local адресу — внутреннему адресу метаданных облака — отвечает служебный сервис инстанса: он отдаёт временные ключи доступа и параметры окружения без аутентификации, полагаясь на то, что «снаружи до него не достучаться». SSRF обходит это допущение: запрос выполняет сам сервер, уже находящийся внутри, и ответ сервиса возвращается на страницу сравнения цен. ## Точка входа атаки `POST /fetch-url` — поле `url` в форме сравнения цен на странице каталога; тело запрошенного ресурса отображается на странице. * **Обычный пользователь:** `demo` / `demo`