SSRF: Quando Seu Servidor Vira o Proxy do Atacante

Uma feature inocente

Em algum lugar do seu app existe uma linha que busca uma URL que um usuário
te deu. "Importe sua foto de perfil de um link." "Vamos fazer POST no seu
webhook quando o job terminar." "Cole a URL do CSV e a gente importa." Cada
uma é uma feature normal e útil. Cada uma também é uma arma carregada
apontada pra sua própria infraestrutura.

O padrão é sempre o mesmo: o usuário controla uma URL, e o seu servidor —
não o navegador do usuário — faz a requisição. Essa distinção é tudo. Seu
servidor está dentro da fronteira de confiança. Ele alcança o banco, o
cache, o painel admin interno e, na cloud, um endereço mágico que vai de bom
grado imprimir suas credenciais. Isso é Server-Side Request Forgery (SSRF):
você constrói um cliente HTTP, e um atacante o toma emprestado.

O ataque

Dê a um buscador ingênuo uma URL escolhida pelo atacante e veja o que ele
alcança: