Site icon bintorosoft.com

SSRF-Abwehr am Edge: Nginx/Apache Regeln und Security Controls

Red Snapper

Close up of computer web page code inside of html file. Big data and Internet of things trend. Application web source code on monitor.

Server-Side Request Forgery (SSRF) ist eine Angriffsart, bei der ein Angreifer den Server dazu bringt, Anfragen an interne oder externe Ressourcen auszuführen, die er normalerweise nicht direkt erreichen könnte. Besonders in Web Stacks mit Nginx oder Apache als Reverse Proxy kann SSRF kritische Sicherheitslücken öffnen, z. B. Zugriff auf interne Dienste, Cloud-Metadaten oder andere vertrauliche APIs. Eine konsequente Absicherung am Edge ist daher essenziell.

Was ist SSRF?

SSRF entsteht, wenn ein Webserver oder ein Backend-Service URLs von Benutzern akzeptiert und ohne ausreichende Validierung oder Einschränkung aufruft. Angreifer können damit:

Typische Angriffsvektoren

Grundprinzipien der SSRF-Abwehr

Die Sicherheit gegen SSRF basiert auf mehreren Ebenen:

Nginx-Regeln gegen SSRF

Nginx kann als Edge-Proxy viele SSRF-Vektoren reduzieren, bevor sie das Backend erreichen.

1. Blockieren von Loopback- und Private-IP-Adressen

map $remote_addr $blocked_ip {
    default 0;
    127.0.0.1 1;
    ::1 1;
    10.0.0.0/8 1;
    172.16.0.0/12 1;
    192.168.0.0/16 1;
}

server {

listen 80;

if ($blocked_ip) {

return 403;

}

}

2. Limitieren von URL-Schemas

server {
    location /fetch/ {
        if ($request_uri !~* ^https?://) {
            return 400;
        }
    }
}

3. Request Size und Timeouts

server {
    client_max_body_size 1m;
    proxy_read_timeout 5s;
    proxy_connect_timeout 2s;
}

Apache SSRF-Abwehr

In Apache kann SSRF durch ModSecurity oder interne Konfigurationen eingeschränkt werden.

1. IP- und Port-Filter

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REMOTE_ADDR} ^127.0.0.1$ [OR]
    RewriteCond %{REMOTE_ADDR} ^10.
    RewriteCond %{REMOTE_ADDR} ^172.(1[6-9]|2[0-9]|3[0-1]).
    RewriteCond %{REMOTE_ADDR} ^192.168.
    RewriteRule ^ - [F]
</IfModule>

2. ModSecurity Regeln

Beispiel-Regeln für URL-Validierung:

SecRule REQUEST_URI "@rx ^https?://" 
    "id:1001,phase:1,deny,log,msg:'Non-HTTP schema blocked'"

SecRule REMOTE_ADDR "@ipMatch 127.0.0.1/8,10.0.0.0/8,192.168.0.0/16,172.16.0.0/12" 

"id:1002,phase:1,deny,log,msg:'Private IP blocked'"

Best Practices für sichere SSRF-Abwehr

Zusammenfassung

SSRF ist ein schwerwiegender Angriffsvektor, der sowohl interne Systeme als auch Cloud-Ressourcen gefährden kann. Durch gezielte Edge-Konfigurationen mit Nginx und Apache, die IP-Filter, URL-Validierung und ModSecurity-Regeln kombinieren, lassen sich die Risiken deutlich reduzieren. Zusätzlich erhöhen Monitoring, Logging und strikte Whitelists die Sicherheit des gesamten Web Stacks und verhindern, dass manipulierte Requests intern Schaden anrichten.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.

Exit mobile version