← Tüm yazılar

SSRF (Sunucu Taraflı İstek Sahteciliği) Nedir ve Nasıl Engellenir?

30 Ağustos 2026

SSRF (Sunucu Taraflı İstek Sahteciliği) Nedir ve Nasıl Engellenir?

Sunucu Taraflı İstek Sahteciliği (Server-Side Request Forgery, SSRF), bir uygulamanın kullanıcı girdisinden türetilen bir URL’yi sunucu tarafında çekmesi ve saldırganın bu URL’yi kontrol edebilmesidir. Sonuç: normalde dışarıya kapalı olan iç ağa, bulut metadata servislerine veya yerel servislere sunucunun kimliğiyle erişim. SSRF, OWASP Top 10’a ayrı bir kategori olarak girecek kadar yaygın ve etkili bir sınıftır.

Nasıl ortaya çıkar?

Uygulamalar sık sık bir URL alıp onu çeker: uzaktan resim önizlemesi, webhook doğrulaması, PDF üretimi, bir “URL’den içe aktar” özelliği. Uygulama, kullanıcının verdiği adrese giderken adresi yeterince kısıtlamazsa, saldırgan bunu iç hedeflere yönlendirebilir. Örneğin bir “URL’den önizleme” özelliği:

https://uygulamaniz.com/onizle?url=http://169.254.169.254/latest/meta-data/

Burada saldırgan, dış bir resim yerine bulut sağlayıcının metadata uç noktasını hedefler. Yanlış yapılandırılmış ortamlarda bu, geçici erişim anahtarları gibi hassas bilgileri sunucu üzerinden sızdırabilir.

Etkileri

  • İç ağ keşfi ve erişimi: İnternete kapalı yönetim panelleri, veritabanları, iç API’ler sunucu üzerinden erişilebilir hale gelebilir.
  • Bulut metadata sızıntısı: Kimlik/erişim bilgileri ele geçirilebilir, özellikle oturum-token’ı gerektirmeyen eski metadata mekanizmalarında.
  • Yerel servisler ve dosya şemaları: http://localhost, bazı durumlarda file:// gibi şemalar iç kaynaklara ulaşabilir.

Savunma yöntemleri

SSRF savunması allowlist temelli olmalıdır; “kötü adresleri engelle” (denylist) yaklaşımı, IP kodlama hileleri ve yönlendirmelerle atlatılır.

  1. Hedefi allowlist ile sınırlayın. Uygulamanızın gitmesi gereken alan adları/uç noktalar belliyse yalnız onlara izin verin.
  2. İç IP aralıklarını ve metadata IP’sini engelleyin. Çözümlenen IP’nin özel aralıklara (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 127.0.0.0/8) veya 169.254.169.254’e düşmediğini doğrulayın.
  3. Yönlendirmelere ve DNS rebinding’e dikkat edin. Doğrulamayı ilk URL’de yapıp yönlendirmeleri körü körüne takip etmek atlatmaya açıktır; her adımda IP’yi yeniden doğrulayın veya yönlendirmeyi kapatın.
  4. Bulutta güvenli metadata modunu zorunlu kılın (yalnız oturum-token’lı metadata erişimi). Bu, SSRF olsa bile metadata’yı korur.
  5. Yalnız gereken şemalara izin verin (https); file, gopher, ftp gibi şemaları reddedin.

DNS rebinding neden önemli?

Akıllı bir savunma bile şu tuzağa düşebilir: uygulama URL’nin IP’sini kontrol eder, “dış IP, güvenli” der ve isteği yapar. Ama saldırganın alan adı, kontrol anı ile istek anı arasında iç bir IP’ye yeniden çözümlenirse (DNS rebinding), kontrol atlatılır. Bu yüzden ya yönlendirme/yeniden-çözümleme kapatılmalı ya da IP her fiili bağlantıda doğrulanmalıdır.

Özet

SSRF’nin kökü, sunucunun kullanıcı kontrollü bir adrese güvenerek istek yapmasıdır. En sağlam savunma, hedefi bir allowlist ile sınırlamak, iç/metadata IP’lerini engellemek ve yönlendirme/yeniden-çözümlemeyi her adımda kontrol etmektir. Bulut tarafında güvenli metadata modu, kritik bir ikinci savunma katmanıdır.

Kaynaklar: OWASP SSRF Prevention Cheat Sheet, PortSwigger: SSRF, CWE-918.

URL çeken uç noktalarınız SSRF’ye açık mı? CyberTestify’ın aktif doğrulama testleri, keşfedilen giriş noktalarında zararsız SSRF/parametre probları çalıştırır.