SSRF: usare il server come proxy

2 febbraio 2026 · 1 min di lettura · #web #ssrf #cloud

Server-side request forgery: l'applicazione fa una richiesta HTTP verso un URL che controlli tu. Il server ha accesso a reti interne che tu non raggiungi.

Il bersaglio classico: metadata cloud

Su AWS/GCP/Azure un endpoint locale espone le credenziali dell'istanza:

http://169.254.169.254/latest/meta-data/iam/security-credentials/

Un SSRF che raggiunge quell'IP restituisce chiavi temporanee valide. Da lì l'attaccante entra nell'account cloud.

Difesa

Whitelist di domini/IP consentiti, mai blacklist. Blocca gli IP privati e link-local (169.254.0.0/16, 10/8, 127/8) dopo la risoluzione DNS, non prima (attenzione al DNS rebinding). Su AWS imponi IMDSv2, che richiede un token e blocca l'accesso banale via SSRF.

« torna alla home