SSRF к облачным метаданным через обход проверки IP

# SSRF: доступ к метаданным облака через неполную фильтрацию адресов ## Сценарий Интернет-магазин **CloudNomad** работает на облачных виртуальных машинах, и команда добавила в каталог виджет предпросмотра внешних ссылок: покупатель вводит адрес, сервер запрашивает его со своей стороны и показывает содержимое — так менеджеры проверяют картинки и описания партнёрских товаров. После прошлогоднего пентеста к виджету прикрутили защиту от SSRF, но реализовали её наспех — сравнением имени хоста с коротким списком «локальных» строк. Вас пригласили проверить, держит ли эта защита удар. ## Цель 1. Войдите как обычный пользователь и найдите виджет предпросмотра ссылок. 2. Убедитесь, что явные локальные адреса фильтр отбрасывает. 3. Найдите представление адреса или класс адресов, который фильтр пропускает, и через него доберитесь до симулятора сервиса метаданных, развёрнутого рядом с приложением. 4. Извлеките флаг из ответа симулятора. ## Теория **Server-Side Request Forgery (SSRF)** — атакующий заставляет приложение выполнить запрос по выбранному им адресу от имени сервера. В облачной среде самая ценная цель SSRF — сервис метаданных: каждый крупный провайдер разворачивает его на каждом инстансе по внутреннему адресу метаданных облака, недоступному снаружи. Помимо образа и региона сервис отдаёт временные учётные данные IAM-роли инстанса — захватив их через SSRF, атакующий получает доступ к ресурсам облака от имени приложения. Это один из самых дорогих облачных эксплойтов в истории. **Уязвимый паттерн:** ```php // Наивная защита: сравнение хоста с несколькими строками $blocked = ['127.0.0.1', 'localhost', '::1']; return in_array(strtolower($host), $blocked, true); ``` Фильтр работает со строками, а не с адресами. Один и тот же loopback-адрес записывается десятками способов — десятичным, восьмеричным, шестнадцатеричным числом, именем хоста — и строковое сравнение пропускает почти все записи. Хуже того, список охватывает лишь один класс адресов: частные сети, link-local-диапазон (где живут сервисы метаданных) и прочие зарезервированные диапазоны остаются полностью открытыми. Безопасность SSRF определяется IP-диапазоном после резолва имени, а не текстом в URL. ## Точка входа атаки `POST /preview` — виджет предпросмотра ссылок, поле `url`. * **Обычный пользователь:** `demo` / `demo` * **Цель:** симулятор сервиса метаданных облака; в его ответе среди строк окружения инстанса спрятан флаг