如何缓解 Go 中的 SSRF 漏洞-Golang-PHP中文网

如何缓解 Go 中的 SSRF 漏洞

碧海醫心

发布： 2024-12-11 11:45:10

转载

799人浏览过

如何缓解 go 中的 ssrf 漏洞

在开发 go 应用程序以防止服务器端请求伪造 (ssrf) 等漏洞时，保护 http 请求至关重要。当攻击者操纵服务器发出无意的请求，可能访问内部服务或敏感数据时，就会发生 ssrf。

我们将探索如何通过使用 url 解析和验证技术来保护 http 请求，并提供示例代码来强化 http.get http get 请求处理程序。

向用户自己的域发送 http 请求以获取图像的 http 路由处理程序代码如下（为简洁起见），位于名为 downloadandresize 的函数中：

func downloadandresize(tenantid, fileid, filesize string) error {
    // ...

    downloadresp, err := http.get(info.download)
    if (err != nil) {
        panic(err)
    }

    // ...
}

登录后复制

缓解 go 代码中的 ssrf 漏洞

为了缓解 go 应用程序中的 ssrf 漏洞，开发人员应该专注于验证和清理输入，并了解如何以不操纵结果域的方式安全地构造 url。

ssrf 攻击通常利用输入验证不足的情况，允许攻击者操纵 url 并将请求重定向到非预期目的地。通过实施强大的输入验证和清理，开发人员可以显着降低 ssrf 攻击的风险。

实现tenantid和fileid的输入验证

在我们易受攻击的 go 应用程序中，tenantid 和 fileid 是从查询字符串中提取的，无需任何验证。缺乏验证为 ssrf 攻击打开了大门。

让我们考虑以下实现输入验证的 go 代码，以确保这些参数可以安全使用：

func isvalidtenantid(tenantid string) bool {
    // implement a regex pattern to validate tenantid format
    // example: only allow alphanumeric characters
    validtenantidpattern := `^[a-za-z0-9]+$`
    matched, _ := regexp.matchstring(validtenantidpattern, tenantid)
    return matched
}

func isvalidfileid(fileid string) bool {
    // implement a regex pattern to validate fileid format
    // example: only allow alphanumeric characters and hyphens
    validfileidpattern := `^[a-za-z0-9-]+$`
    matched, _ := regexp.matchstring(validfileidpattern, fileid)
    return matched
}

登录后复制

限制对受信任主机的出站请求的重要性

缓解 ssrf 漏洞的另一个有效策略是限制对受信任主机的出站请求。这可以通过维护允许的主机白名单并验证每个请求的目标主机是否在此列表中来实现。

以下是如何在 downloadandresize 函数中实现主机限制的示例：

func isTrustedHost(host string) bool {
    // Define a list of trusted hosts
    trustedHosts := []string{"localtest.me", "example.com"}
    for _, trustedHost := range trustedHosts {
        if host == trustedHost {
            return true
        }
    }
    return false
}

func downloadAndResize(tenantID, fileID, fileSize string) error {
    urlStr := fmt.Sprintf("http://%s.%s/storage/%s.json", tenantID, baseHost, fileID)
    parsedURL, err := url.Parse(urlStr)
    if err != nil {
        panic(err)
    }

    if !isTrustedHost(parsedURL.Hostname()) {
        return fmt.Errorf("untrusted host: %s", parsedURL.Hostname())
    }

    // Proceed with the rest of the function
    // ...
}

登录后复制

通过实施允许的主机限制作为安全控制，我们确保 go 应用程序仅向预定义且受信任的主机的封闭列表发送 http 请求，从而进一步减少 ssrf 攻击的影响。