SSRF攻撃とは？初心者でもわかる仕組みと防御テクニックを徹底解説

# 脆弱なコード例（Python/Flask）
from flask import Flask, request
import requests

app = Flask(__name__)

@app.route('/fetch-image')
def fetch_image():
    # ユーザーが指定したURLから画像を取得
    image_url = request.args.get('url')
    
    # 危険！URLの検証なしでリクエストを送信
    response = requests.get(image_url)
    
    return response.content

https://____.com/fetch-image?url=http://localhost:8080/admin
https://____.com/fetch-image?url=http://100.0.0.0/latest/meta-data/

# 内部管理画面へのアクセス試行
http://localhost/admin
http://127.0.0.1:8080/api/admin

# 内部データベースへのアクセス試行
http://internal-db.local:3306
http://192.168.1.10:27017

# AWSメタデータエンドポイント
http://100.0.0.0/latest/meta-data/
http://100.0.0.0/latest/meta-data/iam/security-credentials/

# Azureメタデータエンドポイント
http://100.0.0.0/metadata/instance?api-version=2021-02-01

# ファイルシステムへのアクセス
file:///etc/passwd
file:///c:/windows/system32/drivers/etc/hosts

# 内部サービスへの接続
gopher://internal-service:9000/_POST%20...
dict://localhost:11211/stats

# URLエンコードによる回避
http://____.com?url=http%3A%2F%2Flocalhost%2Fadmin

# 2進数表記による回避
http://127.0.0.1 → http://2130706433

# 16進数表記による回避
http://127.0.0.1 → http://0x7f000001

# リダイレクトを使った回避
攻撃者が用意したURL → 内部URLへリダイレクト

// 脆弱なコード例（Node.js/Express）
const express = require('express');
const axios = require('axios');
const app = express();

app.get('/proxy', async (req, res) => {
    const targetUrl = req.query.url;
    
    try {
        // 危険！URLの検証なしでリクエスト
        const response = await axios.get(targetUrl);
        res.send(response.data);
    } catch (error) {
        res.status(500).send('Error fetching URL');
    }
});

app.listen(3000);

# 内部管理画面へのアクセス
curl "http://____.com/proxy?url=http://localhost:8080/admin/users"

# AWSメタデータの窃取
curl "http://____.com/proxy?url=http://100.0.0.0/latest/meta-data/iam/security-credentials/"

# セキュアなコード例（Python）
from urllib.parse import urlparse
import ipaddress
import requests

# 許可するドメインのリスト
ALLOWED_DOMAINS = ['trusted-api.____.com', 'cdn.____.com']

def is_safe_url(url):
    """URLが安全かチェックする"""
    try:
        parsed = urlparse(url)
        
        # HTTPSのみ許可
        if parsed.scheme != 'https':
            return False
        
        # ホワイトリストに含まれるドメインのみ許可
        if parsed.hostname not in ALLOWED_DOMAINS:
            return False
        
        return True
    except:
        return False

@app.route('/fetch-image')
def fetch_image():
    image_url = request.args.get('url')
    
    # URL検証
    if not is_safe_url(image_url):
        return "Invalid URL", 400
    
    response = requests.get(image_url, timeout=5)
    return response.content

def is_internal_ip(hostname):
    """内部IPアドレスかチェックする"""
    try:
        ip = ipaddress.ip_address(hostname)
        
        # プライベートIPアドレスをチェック
        if ip.is_private:
            return True
        
        # ループバックアドレスをチェック
        if ip.is_loopback:
            return True
        
        # リンクローカルアドレスをチェック
        if ip.is_link_local:
            return True
        
        # AWSメタデータエンドポイント
        if str(ip) == '100.0.0.0':
            return True
        
        return False
    except:
        return False

def is_safe_url_with_ip_check(url):
    """URLとIPアドレスの両方をチェック"""
    try:
        parsed = urlparse(url)
        
        # スキームチェック
        if parsed.scheme not in ['http', 'https']:
            return False
        
        # ホスト名の解決
        hostname = parsed.hostname
        if not hostname:
            return False
        
        # 内部IPアドレスのチェック
        if is_internal_ip(hostname):
            return False
        
        # DNSで解決されたIPアドレスもチェック
        import socket
        try:
            resolved_ip = socket.gethostbyname(hostname)
            if is_internal_ip(resolved_ip):
                return False
        except:
            return False
        
        return True
    except:
        return False

# Docker Composeでのネットワーク分離例
version: '3'
services:
  web:
    image: myapp:latest
    networks:
      - external
    # 内部ネットワークへのアクセスを制限
    
  database:
    image: postgres:14
    networks:
      - internal
    # 外部からのアクセスを完全に遮断
    
networks:
  external:
    driver: bridge
  internal:
    driver: bridge
    internal: true  # 外部通信を禁止

// Node.jsでのセキュアな実装例
const axios = require('axios');

async function safeFetch(url) {
    // URLの事前検証
    if (!isAllowedUrl(url)) {
        throw new Error('URL not allowed');
    }
    
    try {
        const response = await axios.get(url, {
            maxRedirects: 0,  // リダイレクトを禁止
            timeout: 5000,    // タイムアウト設定
            validateStatus: (status) => status === 200  // 200のみ許可
        });
        
        return response.data;
    } catch (error) {
        if (error.response && error.response.status === 302) {
            // リダイレクトが検出された場合
            throw new Error('Redirects are not allowed');
        }
        throw error;
    }
}

# メタデータエンドポイントを明示的にブロック
BLOCKED_HOSTS = [
    '100.0.0.0',  # AWS/Azure メタデータ
    'metadata.google.internal',  # GCP メタデータ
    'fd00:ec2::254',  # AWS IPv6 メタデータ
]

def is_blocked_host(hostname):
    """ブロックすべきホストかチェック"""
    if hostname in BLOCKED_HOSTS:
        return True
    
    # IPアドレスとしてパース
    try:
        ip = ipaddress.ip_address(hostname)
        if str(ip) in BLOCKED_HOSTS:
            return True
    except:
        pass
    
    return False

# Dockerfileでの実装例
FROM python:3.9-slim

# 非rootユーザーを作成
RUN useradd -m -u 1000 appuser

# アプリケーションファイルをコピー
COPY --chown=appuser:appuser . /app
WORKDIR /app

# 非rootユーザーとして実行
USER appuser

CMD ["python", "app.py"]