SSRF через file_get_contents() в загрузке аватара

# SSRF: запрос к внутренним эндпоинтам через серверный HTTP-клиент ## Сценарий Вы проводите аудит магазина ИТ-мерча **GadgetForge** перед подключением нового платёжного провайдера. В кабинете покупателя есть функция загрузки аватара по ссылке: пользователь указывает адрес изображения, а сервер сам скачивает картинку и подключает её к профилю. Команда разработки считает эндпоинт безопасным — «это всего лишь прокси для внешних картинок», — но автоматический сканер перед аудитом отметил подозрительную гибкость: сервер соглашается идти по любому переданному адресу. ## Цель 1. Изучите поведение серверного HTTP-клиента в функции предпросмотра: что именно приложение делает с адресом, который передал пользователь. 2. Используя предпросмотр как прокси, обратитесь к служебному эндпоинту приложения со статистикой, защищённому проверкой адреса источника запроса. 3. Извлеките флаг из ответа служебного эндпоинта. ## Теория **Server-Side Request Forgery (SSRF)** — класс уязвимостей, при котором атакующий заставляет сервер выполнить запрос по выбранному им адресу. Запрос исходит от самого сервера и поэтому действует внутри доверительной границы: проходит сетевые фильтры, видит внутренние сервисы и достаёт до адресов, недоступных извне. **Уязвимый паттерн:** ```php // Адрес назначения берётся из пользовательского ввода без проверки $url = $_POST['url']; $content = @file_get_contents($url, false, $ctx); ``` Ключевая ошибка — отсутствие валидации адреса назначения до вызова HTTP-клиента. Служебные эндпоинты часто доверяют сетевой границе: «доступен только с localhost», «только из внутренней сети». При SSRF запрос приходит от самого приложения, и такая проверка источника проходит. Типичные цели атаки — внутренние административные и отладочные эндпоинты на loopback-адресах, соседние сервисы в частных диапазонах сети и внутренний адрес метаданных облака, по которому инстанс отдаёт свои секреты. Отдельный пласт — нестандартные схемы URL: потоковые обёртки PHP открывают доступ к локальным файлам и внутренним службам на нестандартных портах. ## Точка входа атаки `POST /fetch-url` — предпросмотр аватара: принимает поле `url` и возвращает содержимое, скачанное сервером по этому адресу. Валидации хоста и схемы не выполняется. * **Обычный пользователь:** `demo` / `demo` * **Цель:** служебный эндпоинт со статистикой, доступный только с loopback-адреса