cloud-metadata1 [Golang] Go에서 SSRF를 막으려면 어디서 검사해야 할까? 서비스를 운영하다 보면 사용자가 입력한 URL을 서버가 대신 요청해야 하는 기능이 생깁니다. 웹훅 주소를 등록받아 이벤트를 보내거나, 채팅에 붙여 넣은 링크의 미리보기를 만들거나, 외부 이미지 URL을 받아 저장하는 기능이 그렇습니다.이때 서버는 자기가 있는 네트워크 위치에서, 자기 권한으로 요청을 보냅니다. 사용자가 https://example.com 대신 http://169.254.169.254/latest/meta-data/iam/security-credentials/를 넣으면, 외부에서는 닿을 수 없는 클라우드 메타데이터 서비스에 서버가 대신 접속해 IAM 자격 증명을 받아 옵니다. 이런 공격을 SSRF(Server-Side Request Forgery)라고 합니다. 2019년 Capital On.. 2026. 10. 11. 이전 1 다음
