AntiSSRF es una biblioteca de código fuente abierta de Microsoft que valida URL y conexiones de red para reducir los riesgos de falsificación de solicitudes del lado del servidor (SSRF) en aplicaciones web. Admite aplicaciones .NET y Node.js y se distribuye bajo la licencia MIT. La biblioteca actúa como un componente directo que brinda a los desarrolladores una forma de verificar si hay entradas que no son de confianza antes de que sus aplicaciones envíen solicitudes salientes.
Qué pretende la biblioteca
La falsificación de solicitudes del lado del servidor es una vulnerabilidad de seguridad web en la que un atacante manipula una aplicación del lado del servidor para realizar solicitudes de red a un punto final arbitrario. Un atacante exitoso puede ordenar al servidor de destino que se conecte a redes internas o envíe datos confidenciales a un punto final que no sea de confianza en Internet. Las consecuencias enumeradas incluyen la exposición de servicios internos, fuga de datos confidenciales, interrupción del servicio y ejecución remota de código.
Una ruta común hacia estas vulnerabilidades involucra cadenas proporcionadas por el cliente que forman o construyen una URL. Cuando estas cadenas dejan de validarse, pueden habilitar SSRF, lo que puede provocar el robo de tokens. El proyecto trata todas las solicitudes HTTP entrantes como no confiables, incluidas las URL e identificadores proporcionados por el usuario, datos de API y webhooks externos, valores de configuración en los que los usuarios pueden influir y solicitudes de los propios componentes backend de un servicio. Datos que no parecen ser una URL, p. un nombre de espacio de trabajo concatenado a uno cae bajo el mismo requisito de validación.
como funciona
AntiSSRF valida automáticamente las URL y las conexiones de red y rechaza las entradas que considera inseguras. Proporciona un agente que evita que las solicitudes HTTP lleguen a direcciones IP internas o confidenciales.
La configuración se centra en un objeto AntiSSRFPolicy. Sus propiedades permiten a los desarrolladores definir direcciones permitidas y denegadas, denegar todas las IP no especificadas, permitir o bloquear HTTP de texto sin formato y establecer encabezados requeridos y denegados. Un componente URIValidator proporciona comprobaciones de dominio, incluidos métodos que verifican si un URI reside dentro de un dominio de Azure Key Vault o un dominio de Azure Storage.
La biblioteca .NET sirve a clientes web que utilizan objetos HttpClient. La biblioteca Node.js maneja solicitudes utilizando los agentes HTTP y HTTPS de Node.js. La documentación incluye ejemplos de Node.js para Axios, redirecciones de seguimiento y búsqueda de nodos.
Microsoft AntiSSRF está disponible de forma gratuita en GitHub.
Debe leer:
Suscríbase al boletín mensual sin publicidad Help Net Security para mantenerse informado sobre las herramientas esenciales de ciberseguridad de código abierto. Regístrate aquí!
