SSRF, cuando el servidor hace la petición

En un CSRF la petición sale del navegador de una persona. En un SSRF sale del servidor, que está en otra posición de la red: dentro de la zona protegida, junto a servicios que no están publicados en internet. Si una función visita lo que le den sin comprobar adónde, quien controla la entrada controla adónde va el servidor, y puede hacer que lea servicios internos y devuelva lo que encuentre.

Es una de las pocas debilidades que cambia la frontera de red sin tocar ningún cortafuegos. Por eso se mira con cuidado cualquier función que reciba una dirección: vista previa, importación, webhooks, descarga de imágenes remotas.

La evidencia de un SSRF es la prueba de que el servidor llegó a un destino que la persona evaluadora no alcanza por sí sola. Hay que identificar con precisión el destino, y comprobar que sea el autorizado: el alcance firmado marca el único servicio interno que se podía tocar.

Cruza pruebas.txt, red.txt y salida-web01.txt. El registro de salida del servidor es la evidencia más fiable porque la escribe el propio servidor, no la respuesta de la prueba.

Dos pruebas, el mismo destino. Desde la estación de pruebas, que es internet, el intento directo no obtiene respuesta. A través de la vista previa, obtiene respuesta. La conclusión no es que el servicio esté mal protegido: es que la función de vista previa cruza un límite de red que el diseño daba por cerrado, y lo hace por orden de quien escribe la dirección.

Para esta función, la corrección combina varias capas. Primero, una lista de destinos permitidos en lugar de una lista de destinos prohibidos. Segundo, resolver el nombre y rechazar cualquier dirección privada o interna antes de conectar. Tercero, no seguir redirecciones, porque un destino permitido puede redirigir a uno que no lo es. Cuarto, limitar la salida del servidor por red, de modo que aunque el código falle no pueda llegar a la zona interna. CWE-918 recoge la lista de destinos permitidos como mitigación principal.

Bloquear el texto «localhost» o una dirección concreta no sirve: hay muchas formas de nombrar el mismo destino.

El alcance limita la evidencia a la primera línea de la respuesta. Para el hallazgo no hace falta navegar el servicio interno ni leer sus datos: basta con demostrar que respondió y dejar un dato inerte que pruebe que es ese servicio y no otro. Esa línea se copia tal cual al informe.