الـ SSRF والـ Egress: ما تخليش الـ server بتاعك يزور الشبكة الداخلية
جارٍ التحميل…
01 / ملخص الدرس
الـ SSRF والـ Egress: ما تخليش الـ server بتاعك يزور الشبكة الداخلية
link preview بيعمل fetch لأي URL، والمهاجم بيستخدمه يوصل لـ cloud metadata ومفاتيح AWS، و admin panel داخلي، بأشكال IP ملتوية (IPv6 و decimal)، و redirect من موقع عام لجُوّه. بنفهم ليه الـ blocklists على الـ string بتفشل، و DNS rebinding، و IMDSv2، و egress proxy و network policies. والتحدي: safeFetch بيشيك الـ IP بعد الـ DNS، وكل redirect، وبيحدد الحجم والوقت.
نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.
أهلًا بيك. SSRF يعني Server Side Request Forgery. المهاجم ما بيهاجمش الـ server بتاعك، بيستخدمه. الـ server بتاعك قاعد جُوّه الشبكة: بيشوف الـ databases، والـ admin panels الداخلية، وأهم حاجة: الـ cloud metadata. في AWS فيه IP خاص، تلاتة مِيّة وتسعة وستين ميتين أربعة وخمسين، أي حاجة جُوّه الـ instance تكلّمه، يرجّعلها الـ credentials بتاعة الـ IAM role. وده بالضبط اللي حصل في اختراق Capital One سنة ألفين وتسعتاشر: مِيّة مليون حساب. internal dot js بيلعب دور الحاجات الداخلية دي على port أربعة آلاف. و evil dot js بيلعب دور موقع على الإنترنت، على IP لوحده، فيه صفحة عادية، و redirect لجُوّه، و response مالوش آخر، و server ما بيردّش. server dot js: link preview، زي اللي بيطلع في Slack لما تبعت link. الـ server بيعمل fetch للـ URL، ويطلّع الـ title. ده بيبان بريء، بس أي feature فيها الـ server بيجيب حاجة من URL المستخدم بيبعته، هي SSRF محتملة: webhooks، و import من URL، و profile pictures من link، و PDF generators، و OAuth callbacks.
نشغّل التلاتة و attack dot js.
attack.js
const preview = async (label, url) => {
const r = await fetch("http://localhost:3000/preview", {
method: "POST",
headers: { "content-type": "application/json" },
body: JSON.stringify({ url }),
});
console.log(`\n▶ ${label}\n ${r.status}`, JSON.stringify(await r.json()).slice(0, 200));
};
await preview("link عادي", "http://127.0.0.5:5000/page");
// 1) الـ cloud metadata: أخطر هدف، بيطلّع مفاتيح AWS. في الحقيقة على 169.254.169.254، وفي المعمل على port أربعة آلاف
await preview("1) AWS metadata", "http://127.0.0.1:4000/latest/meta-data/iam/security-credentials/app-role");
// 2) admin panel داخلي
await preview("2) admin داخلي", "http://127.0.0.1:4000/admin/users");
// 3) أشكال تانية للـ localhost علشان الـ blocklists السادجة
await preview("3) IPv6 loopback", "http://[::1]:4000/admin/users");
await preview(" عنوان decimal", "http://2130706433:4000/admin/users"); // = 127.0.0.1
// 4) file:// بيقرا من الـ disk
await preview("4) file scheme", "file:///etc/hostname");
// 5) redirect: الـ URL public، بس بيوديك جُوّه
await preview("5) redirect لجُوّه", "http://127.0.0.5:5000/go");
واحد: الـ AWS credentials رجعت في الـ preview. اتنين: الـ admin الداخلي. تلاتة: لو حد عمل blocklist على كلمة localhost أو الـ string بتاع مِيّة سبعة وعشرين، الـ IPv6 والرقم الـ decimal عدّوا. الرقم ده هو نفس العنوان مكتوب كرقم واحد. أربعة: file رجع fetch failed، لأن fetch في Node ما بيدعمش file، بس مكتبات تانية زي curl بتدعمه، و gopher كمان، وده بيخلّيك تبعت commands لـ Redis. خمسة: الـ URL شكله عام، بس عمل redirect لجُوّه، و fetch مشي وراه.
إيه اللي بيفشل وإيه اللي بينفع؟ blocklist على الـ string بيفشل: فيه أشكال كتير للعنوان، و domain عادي ممكن يشاور على IP داخلي. الصح إنك تحل الـ DNS بنفسك، وتشيك كل IP راجع. بس فيه حاجة اسمها DNS rebinding: أول مرة الاسم يرجّع IP عام، وتاني مرة ساعة الـ fetch يرجّع IP داخلي. علشان كده تتّصل بالـ IP اللي شيكت عليه بالضبط. وكل redirect يرجع يتشيك من الأول. وحد للحجم والوقت، علشان الـ server ما يتحوّلش لأداة DoS. وطبقات الشبكة: IMDSv2 في AWS: الـ metadata محتاجة token بـ PUT، والـ SSRF العادي ما يقدرش. egress proxy: كل الـ outbound بيعدّي من proxy واحد عليه القواعد. و network policies: الـ service دي أصلًا ما تقدرش توصل للـ databases اللي مش بتاعتها. server dot js الجديد بيستخدم safeFetch من file اسمه safe fetch dot js، وبيرجّع error عام لو اترفض، والسبب في الـ log. التحدي: اكتب safe fetch dot js. isPublicIp. و safeFetch بالـ loop: scheme، و DNS، و pin، و redirect يدوي، و timeout، وحد للحجم. وفيه حاجة للمعمل بس: الـ IP اللي evil dot js عليه هو كمان على جهازك، فبنقول إنه بيلعب دور الإنترنت. test dot js فيه تسعة وعشرين حالة.
تمرين
isPublicIp (IPv4 الخاصة و loopback و link-local و CGNAT، و IPv6 ::1 و fe80 و fc/fd و mapped)، و safeFetch: http/https بس، و DNS lookup all، و pin للـ IP، و redirect manual يتشيك كل hop، و timeout، و maxBytes.
الحل. isPublicIp: كل range ممنوع بسطر، والـ IPv4 mapped بيرجع يتشيك كـ IPv4. safeFetch: كل لفة بتشيك الـ scheme، وتحل الـ DNS، وترفض لو أي IP داخلي، وتتّصل بأول IP مع header الـ host بالاسم الأصلي. الـ redirect بيعمل URL جديد ويلف تاني. والـ body بيتقري chunk ورا chunk، ولو عدّى الحد بنقفل. وفي الـ https، الـ pin بالطريقة دي هيكسر الـ TLS check، فهناك بتستخدم Agent بـ lookup مخصوص، أو الأسهل: egress proxy. نشغّل الهجمات تاني.
safe-fetch.js
// safe-fetch.js: fetch للـ URLs اللي جاية من المستخدم
import dns from "node:dns/promises";
import net from "node:net";
// أي IP مش على الإنترنت العام ← ممنوع: loopback و private و link-local (فيها الـ cloud metadata) و غيرهم
export function isPublicIp(ip) {
const v = net.isIP(ip);
if (v === 4) {
const [a, b] = ip.split(".").map(Number);
if (a === 10 || a === 127 || a === 0) return false;
if (a === 172 && b >= 16 && b <= 31) return false;
if (a === 192 && b === 168) return false;
if (a === 169 && b === 254) return false; // link-local + metadata
if (a === 100 && b >= 64 && b <= 127) return false; // CGNAT
if (a >= 224) return false; // multicast / reserved
return true;
}
if (v === 6) {
const x = ip.toLowerCase();
if (x === "::1" || x === "::") return false;
if (x.startsWith("fe80") || x.startsWith("fc") || x.startsWith("fd")) return false; // link-local + ULA
if (x.startsWith("::ffff:")) return isPublicIp(x.slice(7)); // IPv4-mapped
return true;
}
return false; // مش IP صالح
}
// المعمل بس: الـ IP ده بيمثّل "الإنترنت" (evil.js). في الإنتاج الـ Set دي فاضية
const LAB_PUBLIC = new Set(["127.0.0.5"]);
const allowed = (ip) => LAB_PUBLIC.has(ip) || isPublicIp(ip);
export async function safeFetch(rawUrl, { maxBytes = 256 * 1024, timeoutMs = 2000, maxRedirects = 3 } = {}) {
let url = new URL(rawUrl);
for (let hop = 0; ; hop++) {
if (url.protocol !== "http:" && url.protocol !== "https:") throw new Error(`scheme ممنوع: ${url.protocol}`);
// نحل الـ DNS بنفسنا، ونتأكد إن كل الـ IPs عامة
const name = url.hostname.replace(/^\[|\]$/g, ""); // [::1] ← ::1
const addrs = await dns.lookup(name, { all: true });
for (const { address } of addrs) if (!allowed(address)) throw new Error(`IP داخلي ممنوع: ${url.hostname} → ${address}`);
// نتّصل بالـ IP اللي شيكنا عليه بالضبط (مش بالاسم تاني) ضد الـ DNS rebinding.
// ده تمام للـ http. للـ https في الإنتاج استخدم Agent بـ lookup مخصوص أو egress proxy، علشان الـ TLS يتشيك على الاسم
const pin = addrs[0].address;
const host = net.isIP(pin) === 6 ? `[${pin}]` : pin;
const target = new URL(url);
target.hostname = host;
const ctrl = new AbortController();
const timer = setTimeout(() => ctrl.abort(), timeoutMs);
try {
const r = await fetch(target, {
redirect: "manual",
signal: ctrl.signal,
headers: { host: url.host, "user-agent": "Baassma-LinkPreview" },
});
if (r.status >= 300 && r.status < 400 && r.headers.get("location")) {
if (hop >= maxRedirects) throw new Error("redirects كتير");
url = new URL(r.headers.get("location"), url); // نلف تاني ونشيك الهدف الجديد
continue;
}
// نقرا بحد أقصى، مش نسيب الـ response يكبر مالوش آخر
const reader = r.body?.getReader();
let received = 0, html = "";
const dec = new TextDecoder();
while (reader) {
const { done, value } = await reader.read();
if (do
…
المخرجات
$ node internal.js & A=$!; node evil.js & B=$!; node server.js & C=$!; sleep 1; node attack.js; kill $A $B $C
internet: http://127.0.0.5:5000
internal: port 4000 (IPv4 + IPv6)
API: http://localhost:3000
▶ link عادي
200 {"url":"http://127.0.0.5:5000/page","status":200,"title":"مقالة حلوة"}
رفضنا: IP داخلي ممنوع: 127.0.0.1 → 127.0.0.1
▶ 1) AWS metadata
400 {"error":"الـ link مش مسموح"}
رفضنا: IP داخلي ممنوع: 127.0.0.1 → 127.0.0.1
▶ 2) admin داخلي
400 {"error":"الـ link مش مسموح"}
رفضنا: IP داخلي ممنوع: [::1] → ::1
▶ 3) IPv6 loopback
400 {"error":"الـ link مش مسموح"}
رفضنا: IP داخلي ممنوع: 127.0.0.1 → 127.0.0.1
▶ عنوان decimal
400 {"error":"الـ link مش مسموح"}
رفضنا: scheme ممنوع: file:
▶ 4) file scheme
400 {"error":"الـ link مش مسموح"}
رفضنا: IP داخلي ممنوع: 127.0.0.1 → 127.0.0.1
▶ 5) redirect لجُوّه
400 {"error":"الـ link مش مسموح"}
كلهم four hundred. والـ decimal اتحل لـ مِيّة سبعة وعشرين، واترفض. والـ redirect: الصفحة الأولى عدّت، والـ hop التاني اترفض. ونشغّل test dot js.
كله نجح. الـ response اللي مالوش آخر اتقفل بعد ربع ميجا، والـ server اللي ما بيردّش اتقفل بعد تانيتين. الدرس الجاي: security headers و TLS. إيه الـ headers اللي لازم كل response يبقى فيها، و HSTS، وإزاي تعمل TLS صح.
server.js
// server.js: نفس الـ link preview، بس بـ safeFetch
import express from "express";
import { safeFetch } from "./safe-fetch.js";
const app = express();
app.use(express.json());
app.post("/preview", async (req, res) => {
if (typeof req.body?.url !== "string") return res.status(400).json({ error: "url لازم string" });
try {
const { status, html } = await safeFetch(req.body.url);
const title = html.match(/<title>(.*?)<\/title>/i)?.[1] ?? "(بدون عنوان)";
res.json({ url: req.body.url, status, title });
} catch (e) {
console.log("رفضنا:", e.message);
res.status(400).json({ error: "الـ link مش مسموح" });
}
});
app.listen(3000, () => console.log("API: http://localhost:3000"));
internal.js
// internal.js: حاجات جُوّه الشبكة، مش المفروض حد من برّه يوصلها
// زي الـ metadata بتاعة AWS على 169.254.169.254، و admin panel على الشبكة الداخلية
import express from "express";
const app = express();
app.get("/latest/meta-data/iam/security-credentials/app-role", (req, res) =>
res.json({ AccessKeyId: "ASIA4EXAMPLE", SecretAccessKey: "wJalrXUtnFEMI/K7MDENG", Token: "IQoJb3JpZ2lu..." }),
);
app.get("/admin/users", (req, res) => res.json(["sara", "mona", "omar"]));
app.listen(4000, "::", () => console.log("internal: port 4000 (IPv4 + IPv6)"));
evil.js
// evil.js: موقع على "الإنترنت". في المعمل بيمثّله الـ IP ده 127.0.0.5 (كله على جهازك)
import express from "express";
const app = express();
app.get("/page", (req, res) => res.type("html").send("<title>مقالة حلوة</title><p>...</p>"));
// بيبدأ public، وبعدين redirect للشبكة الداخلية
app.get("/go", (req, res) => res.redirect(302, "http://127.0.0.1:4000/latest/meta-data/iam/security-credentials/app-role"));
app.get("/big", (req, res) => {
res.type("html");
const chunk = "x".repeat(64 * 1024);
const timer = setInterval(() => res.write(chunk), 5); // مالوش آخر
req.on("close", () => clearInterval(timer));
});
app.get("/slow", () => {}); // ما بيردّش أبدًا
app.listen(5000, "127.0.0.5", () => console.log("internet: http://127.0.0.5:5000"));