Глубокое погружение в Server-Side Request Forgery (SSRF) в Go-приложениях. Вы научитесь находить SSRF, обращаться к отдельным внутренним сервисам, корректно интерпретировать сетевые исходы и защищать облачные метаданные (AWS, GCP, Azure).
Разбираемся с механикой атак, когда ваш Go-сервер становится инструментом в руках хакера для запросов во внутреннюю сеть.
Изучаем классические уязвимости в Go-коде при работе с HTTP-клиентами и парсингом URL.
Тренируемся обходить примитивные фильтры и черные списки IP-адресов.
Тренируемся правильно защищать Go-приложение с помощью белых списков и безопасных HTTP-транспортов.
Самый критичный вектор: кража IAM-ролей и секретов из облачных сервисов метаданных (AWS, GCP).
Изучаем обход проверки URL через цепочки HTTP-редиректов и защиту через CheckRedirect в Go.
Кража IAM-credentials и сервисных токенов из облачных метаданных (AWS, GCP, Azure) через SSRF.
Полная таксономия SSRF-атак, эталонный безопасный HTTP-клиент и разбор реальных инцидентов.