فلتر يطابق نصا

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

بعد الدرس السابق أضاف الهاكر فلترا يرفض أي عنوان فيه النص localhost أو 127.0.0.1 لكنه يطابق النص حرفيا والعنوان المحلي نفسه يكتب بأشكال كثيرة

ما الذي تراه أمامك

نفس أداة المعاينة لكن المبرمج أضاف فلترا يمنع النصين localhost و 127.0.0.1 حرفيا العنوان الداخلي الواحد له صيغ كثيرة فالفلتر النصي يلتف عليه بسهولة

الهدف

صل إلى لوحة الإدارة الداخلية مرة أخرى متجاوزا الفلتر النصي

متى يعتبر محلولا

تجاوزت الفلتر النصي بشكل بديل للعنوان ووصلت اللوحة الداخلية

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب 127.0.0.1 ولاحظ أن الفلتر يمنعه
تذكر أن عنوان loopback له صيغ أخرى عشرية ومختصرة وست عشرية
جرب صيغة لا يطابقها الفلتر مثل 127.1
تأكد أنك وصلت الخدمة الداخلية رغم الفلتر

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

الفلتر طابق نصا وعنوان IP له أشكال كثيرة متساوية (مختصر عشري سداسي ثماني) فمنع كتابة واحدة لا يمنع العنوان القاعدة الصحيحة: حلل العنوان إلى شكله الأساسي أولا ثم افحص هل هو داخلي أو محلي والأفضل قائمة بيضاء للوجهات المسموحة فلا تحتاج لملاحقة كل كتابة ممكنة

السبب الجذري

الفلتر يطابق نصا حرفيا لعنوان بينما نظام التشغيل يحل صيغا كثيرة لنفس العنوان 127.1 و 2130706433 و 0x7f000001 فالقائمة السوداء النصية عاجزة

كيف يصلح الكود

لا تفحص النص افحص العنوان بعد تحليله لشكله الأساسي أو الأفضل استخدم قائمة بيضاء

الكود المصاب

function allowed(url) {
  // String blacklist: trivially bypassed by 127.1, decimal, hex, octal...
  return !/localhost|127\.0\.0\.1/.test(url);
}

الكود الآمن

import dns from 'node:dns/promises';
async function allowed(url) {
  const { address } = await dns.lookup(new URL(url).hostname); // resolve to a real IP
  return isAllowlisted(new URL(url).origin) && !isPrivate(address); // check canonical IP
}

الأثر في الواقع

تجاوز فلاتر SSRF بصيغ العناوين البديلة تقنية معروفة مكنت من الوصول للخدمات الداخلية رغم وجود حماية سطحية

كيف يكتشفها المدافعون

المدافع يحل العنوان إلى صيغته القانونية قبل الفحص ويقارن النطاق الفعلي لا النص ويمنع التحويل لعناوين داخلية بعد الحل

المستوى التالي العودة إلى الدرس