SSRF 서버 측 요청 위조

SSRF는 서버가 사용자가 준 주소나 입력을 따라 의도하지 않은 위치로 요청을 보내도록 유도되는 문제입니다.

서버는 외부 사용자보다 더 넓은 내부 자원에 접근할 수 있어 내부 서비스나 메타데이터에 영향을 줄 수 있습니다. 주소의 최초 형태뿐 아니라 해석과 리디렉션도 고려해야 합니다.

외부 문서를 가져오는 기능이 허용된 목적지와 프로토콜에만 연결하도록 제한하는 설계가 있습니다.

SSRF는 서버가 요청하는 경로의 문제이고 CSRF는 사용자의 브라우저가 보내는 권한 있는 요청의 문제입니다. 응답을 바로 볼 수 있는 경우와 없는 경우도 피해 판단이 다릅니다.

문자열에 내부 주소가 있는지만 검사하면 이름 해석과 우회 경로를 놓칠 수 있습니다. 허용 목적지 검증, 리디렉션 정책과 서버의 외부 및 내부 연결 권한을 함께 제한합니다.