Kibernetička sigurnost i ranjivosti: SSRF (Server-side Request Forgery)

diplomski rad

• Naslov (engleski): Cyber security and vulnerabilities: SSRF (Server-side Request Forgery)
• Autor: Lucija Valentić
• Mentor: Goran Igaly (mentor)
• Član povjerenstva: Goran Igaly (predsjednik povjerenstva)
• Član povjerenstva: Franka Miriam Brückler (član povjerenstva)
• Član povjerenstva: Ozren Perše (član povjerenstva)
• Član povjerenstva: Miljenko Marušić (član povjerenstva)
• Ustanova koja je dodijelila akademski / stručni stupanj: Sveučilište u Zagrebu; Prirodoslovno-matematički fakultet; (Matematički odsjek); Zagreb
• Datum i država obrane: 2022-09-27, Hrvatska
• Znanstveno / umjetničko područje, polje i grana: PRIRODNE ZNANOSTI; Matematika

Sažetak

SSRF je kibernetička ranjivost gdje zlonamjerni korisnik uspije “natjerati” ranjivu aplikaciju ili poslužitelj da napravi proizvoljan zahtjev prema nekoj proizvoljnoj lokaciji. Sama SSRF ranjivost ne mora biti opasna, ali njezinim iskorištavanjem se mogu potencijalno iskoristiti i neke druge ranjivosti koje jesu opasne. Iskorištavanjem SSRF ranjivosti se može doći do osjetljivih podataka, kontaktirati poslužitelje ili usluge unutar interne mreže koji nisu dostupni izvana, ili se nakon nje mogu iskoristiti i neke druge ranjivosti, te je moguće čak dobiti pristup poslužitelju i izvršavati kod iz daljine (RCE). Postoji više načina na koji se može aplikacija zaštititi od SSRF-a. Pažljivim programiranjem i korištenjem recimo kombinacije bijele liste i crne liste, te korištenjem vatrozida, može se smanjiti mogućnost da je aplikacija ranjiva na SSRF ranjivost. OWASP je 2021. godine uvrstio SSRF na svoj popis Top Ten Web Application Security Risks. Kao što i sam naziv govori, popis sadrži ranjivosti koje su bile najkritičnije te godine po mišljenjima stručnjaka.

Sažetak (engleski)

SSRF is a cybersecurity vulnerability where malicous user forces an application or server to make a request to arbitrary location. SSRF vulnerability is not dangerous by itself, but chained with other vulnerabilites it can create very dangerous exploit-chain that can lead to exploatation of the application. Abusing SSRF vulnerability, an attacker can extract sensitive information (like passwords), contact servers or services that are not available from the outside, or, SSRF vulnerability can be used to perform other very dangerous attacks, such as Remote Code Execution (RCE). There are many ways to combat this vulnerability. Using good programming practices and maybe combining whitelist, blacklist and firewall, application can be made more safe from this kind of vulnerability at least. OWASP added SSRF vulnerability to their top ten list named Top Ten Web Application Security Risks. As it can be deducted from the name, the list consists of the most critical vulnerability that year based on consensus of experts.

• Ključne riječi: ranjiva aplikacija; ranjivi poslužitelj; osjetljivi podaci; izvršavanje koda iz daljine (RCE); kombinacija bijele liste i crne liste; vatrozid; Top Ten Web Application Security Risks
• Ključne riječi (engleski): vulnerable application; vulnerable server; sensitive information; passwords; Remote Code Execution (RCE); combining whitelist; blacklist; firewall; Top Ten Web Application Security Risks
• Jezik: hrvatski
• URN:NBN: urn:nbn:hr:217:821110
• Studijski program: Naziv: Računarstvo i matematika; Vrsta studija: sveučilišni; Stupanj studija: diplomski; Akademski / stručni naziv: magistar/magistra računarstva i matematike (mag. inf. et math.)
• Vrsta resursa: Tekst
• Način izrade datoteke: Izvorno digitalna
• Prava pristupa: Otvoreni pristup
• Datum i vrijeme pohrane: 2022-11-09 13:00:09