服务器端请求伪造漏洞

支持
1

我们收到了一封来自安全研究员的电子邮件，指出了以下问题。我并非安全专家，因此无法判断该问题是否属实。我已于 2021 年 2 月将此问题转发给 Discourse 支持团队，但尚未收到回复。我想了解：

  • 该问题是否仍然存在
  • 我是否可以采取某些措施（如调整设置等）来应对

谢谢，
Gary W.
remote.it 支持团队

#========================================================
摘要：
服务器端请求伪造（SSRF）漏洞似乎泄露了多个内部 IP 地址，并尝试连接到攻击者控制的服务器。

在此案例中，由于输入验证配置不当，导致我的邮箱地址未被正确验证，请求被发送至我的 Burp Suite Collaborator 服务器。

复现步骤：
1. 首先访问您的网站：https://forum.remote.it/top/yearly
2. 成功注册账号
3. 进入创建新主题页面
4. 在此处粘贴您的服务器链接

概念验证（POC）：
请查找视频附件。您也可以按照上述步骤复现该问题（抱歉，新用户无法上传附件）。该附件已包含在我发送给支持团队的邮件中。

影响：
该漏洞允许攻击者获取服务器的内部 IP 地址，并接收来自该服务器的 HTTP 响应。例如，Collaborator 服务器收到了一个 HTTP 请求，并对域名 [zsvge3euks4arcd9nmrwa0dvamgc41.burpcollaborator.net](http://zsvge3euks4arcd9nmrwa0dvamgc41.burpcollaborator.net) 执行了 A 类型 DNS 查询。该查询来自 IP 地址 66.220.12.132，时间为 2020 年 12 月 10 日 11:03:44 UTC。该 IP 属于某公司，可通过 whois 记录进行验证。

服务器端请求伪造（SSRF）漏洞可能对现代 Web 应用构成重大威胁，因为它可能危及数据的机密性。

缓解措施：
可通过对用户输入（如 URL 等）进行适当的清理来缓解 SSRF 漏洞。开发人员可以创建黑名单，限制任何匹配黑名单的用户输入，并执行边界检查。
2

看起来他们讨论的是我们的 单盒功能。

这并非漏洞，而是预期行为。如果在 Discourse 论坛中发布了 URL，系统会发起外部请求以尝试获取元数据，从而构建单盒预览。

此类报告似乎是对网站进行低质量扫描的结果，旨在寻找通用的“漏洞”，因为报告者并不熟悉所测试软件的工作原理。

如果他们确实发现了任何问题，我们鼓励通过我们的 HackerOne 计划 漏洞奖励计划提交。

如果您还有其他顾虑，我们很乐意为您解答。

我没有收到来自该邮箱地址的任何消息记录，但我们将展开调查，以查明为何未收到该信息。

3

感谢您的回复。我已将本讨论帖的链接发回给向我们报告此问题（或功能）的人员。

祝好，

DL