SSRF の修正 — 許可リストと、内部IPの遮断

前章で開けた穴を、public-api.js に手を入れて塞ぎます。狙いは2つ——許可された宛先だけを通すことと、内部向けのIPを機械的に遮断することです。

法と倫理ゲート

手を動かす前に

このコースは攻撃の技術に触れます。実習してよい相手は、次の3つだけです。

• (a) 自分で作った練習用のやられ環境(このサイトが配る自作ターゲット)
• (b) あなた自身の許可された環境(自分の Thousand SKY・secret-notes-ctf など)
• (c) CTF 競技の中(規約の範囲で)

実在する第三者のシステムを許可なく触ることは、不正アクセス禁止法に触れます。 このゲートは、その線引きを毎回の入口で確かめるためのものです。詳しくは「セキュリティの法と倫理」へ。

上の (a)(b)(c) の範囲だけで実習することに同意します。

直し1 — 許可リストで、ホストを絞る

このコースの一貫した原則、許可リストです。画像取得なら、信頼する画像配信元だけを許します。

// 直したあと(1): 許可したホストだけを通す。
const ALLOWED_HOSTS = new Set(['example.com', 'example.org']);

function isAllowedHost(urlStr) {
  let u;
  try { u = new URL(urlStr); } catch { return false; }
  if (u.protocol !== 'https:' && u.protocol !== 'http:') return false; // file: 等を拒否
  return ALLOWED_HOSTS.has(u.hostname);
}

直し2 — 内部向けのIPを、機械的に遮断する

許可リストに載っているホスト名でも、実は罠が残っています。ホスト名を名前解決した実際のIPが、内部向け(ループバックやプライベート帯)でないかまで確かめる必要があります。

// 直したあと(2): 名前解決した実IPが、内部向けでないか確かめる。
const dns = require('node:dns').promises;
const net = require('node:net');

function isPrivateOrLoopback(ip) {
  if (ip === '127.0.0.1' || ip === '::1' || ip === '169.254.169.254') return true;
  if (!net.isIPv4(ip)) return false;
  const [a, b] = ip.split('.').map(Number);
  return a === 10 || (a === 172 && b >= 16 && b <= 31) || (a === 192 && b === 168) || a === 169;
}

async function isSafeTarget(urlStr) {
  if (!isAllowedHost(urlStr)) return false;
  const { hostname } = new URL(urlStr);
  const addrs = await dns.lookup(hostname, { all: true });
  return addrs.every((a) => !isPrivateOrLoopback(a.address));
}

fetch-image のハンドラで、これを通してから取りに行きます。

if (url.pathname === '/fetch-image') {
  const target = url.searchParams.get('url') || '';
  isSafeTarget(target).then((safe) => {
    if (!safe) { res.writeHead(400); res.end('許可されていない宛先です'); return; }
    fetch(target).then((r) => r.text()).then((body) => {
      res.setHeader('Content-Type', 'text/plain; charset=utf-8');
      res.end('取得結果:\n' + body);
    });
  });
  return;
}

再検証 — もう一度、内部APIへ

public-api.js を再起動して(Ctrl+C → node public-api.js)、前章とまったく同じ攻撃を試します。

curl "http://127.0.0.1:3900/fetch-image?url=http://127.0.0.1:3901/admin/config"
# => 400 許可されていない宛先です

127.0.0.1 は許可リストに無いホスト名の時点で拒否されますし、たとえ 127.0.0.1 を許可リストに紛れ込ませても、isPrivateOrLoopback がループバックとして遮断します。正規の使い方(url=https://example.com)は、引き続き通ります。

なぜ「弾く」ではなく「許す」なのか

持ち帰る一言

許可した宛先だけ、しかも実IPで確認して。 SSRF の直しは、ホスト名の許可リストと、名前解決後の実IPでの内部帯遮断の二段構え。文字列のブラックリストは、表記の揺れで迂回されます。次は、もう一つのサーバ側の穴——復元が実行になってしまうデシリアライズです。