ssrf-サーバーサイドリクエストフォージェリ は何をしますか？
SSRFプレイブック。サーバーがURLを取得したり、ホスト名を解決したり、リモートコンテンツをインポートしたり、内部ネットワーク、クラウドメタデータ、またはセカンダリプロトコルに向けて操作できる場合に使用します。
説明
このスキルは、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性をテストおよび悪用するためのものです。SSRFは、攻撃者がサーバーに内部リソースへのリクエストを強制できる場合に発生します。このスキルは、対象サーバーが外部から指定されたURLを取得したり、ホスト名を解決したり、リモートコンテンツをインポートする機能を持っている場合に使用します。
使用方法
// SSRFスキルをインポート
use yaklang/ssrf-server-side-request-forgery
// SSRFテストを実行
ssrf.Test("http://target.com/fetch?url=http://evil.com")
機能
- 内部ネットワークアクセス: プライベートIPアドレス範囲（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16など）へのリクエストを試行します。
- クラウドメタデータアクセス: AWS、Azure、GCPなどのクラウドプロバイダーのメタデータエンドポイントへのアクセスを試行します（例：
http://169.254.169.254/latest/meta-data/）。 - プロトコルスイッチング:
file://、gopher://、dict://などの異なるプロトコルを使用して、追加の攻撃ベクトルを試行します。 - 応答解析: レスポンスを解析して、内部リソースへのアクセスが成功したかどうかを判断します。
サポートされるプラットフォーム
- Yak Runner: このスキルはYak Language（Yak）で実装されており、Yak Runner上で実行されます。
注意事項
- このスキルは、適切な許可を得た環境でのみ使用してください。
- 内部ネットワークやクラウドメタデータへのアクセスは、深刻なセキュリティ侵害を引き起こす可能性があります。