SSRF protections и egress control

Ограничаване на server-side outbound requests и защитаване на internal metadata/admin endpoints.

Allowlist destinations, network egress policy, safe URL parsing и metadata hardening предотвратяват използването на server-а като proxy.

Attacker не може директно да достъпи internal metadata endpoint, но намира feature, който кара server-а да fetch-не URL от негово име.

„Блокираме URL-и, съдържащи localhost.“

Това пропуска IP variants, DNS resolution, redirects, IPv6, encoded forms и други обходи.

Allowed destinations + safe URL parser + DNS/IP validation + redirect policy + egress firewall + cloud metadata hardening.

Тествайте internal ranges, link-local, redirects към private address и DNS re-resolution.

• Destination allowlist.
• Resolve and validate IP ranges.
• Block link-local/private ranges where unnecessary.
• Cloud metadata protections.
• Egress firewall/proxy.

Allowlist based само на string matching лесно се заобикаля чрез redirects/DNS tricks.