ARK. 1Słownik pojęćPodatności i klasy błędów
SSRF (Server-Side Request Forgery)
Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu.
TAB. 1Nazwabez tłumaczenia
| Po angielsku | server-side request forgery (SSRF) |
|---|---|
| Po polsku | SSRF (Server-Side Request Forgery) |
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Inne formy | fałszowanie żądań po stronie serwera · zmuszenie serwera do wykonania żądania |
| Odmiana | ten SSRF, tego SSRF-a, o SSRF-ie (bez apostrofu); wzorzec: „podatność SSRF", „atak typu SSRF" |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „Podatność Server-Side Request Forgery (SSRF)…", dalej sam skrót SSRF; niebezpiecznik prowadzi tag „ssrf" (forma angielska), ale nie ma artykułu omawiającego termin |
|---|
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „Podatność Server-Side Request Forgery (SSRF) pozwala… na wykonywanie skanowania lub pobierania zasobów z sieci lokalnej.” | sekurak.pl |
| EN | „Server-Side Request Forgery – czyli zmuszenie serwera do zainicjowania pewnej komunikacji sieciowej.” | sekurak.pl |
| EN | „warto zastanowić się, czy nie występuje tutaj SSRF” | sekurak.pl |
| EN | „tag „SSRF" w artykule Memdump #007; brak artykułu omawiającego technikę” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| session fixation | session fixation | Atak, w którym napastnik narzuca ofierze znany sobie identyfikator sesji (np. w linku), a gdy ofiara się zaloguje, przejmuje jej uwierzytelnioną sesję. Ochroną jest wydawanie nowego identyfikatora po zalogowaniu (w PHP session_regenerate_id(true)); rdzeń WordPressa nie opiera logowania na sesji PHP, więc ryzyko dotyczy głównie wtyczek, które same używają $_SESSION. |
| skoordynowane ujawnianie podatności | coordinated vulnerability disclosure (CVD) | Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi. |
| SQL injection | SQL injection | Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa. |
| SSTI | server-side template injection (SSTI) | Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze. |
| Stored XSS | stored XSS | Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę. |
| subdomain takeover | subdomain takeover | Przejęcie subdomeny, której rekord DNS (zwykle CNAME) wskazuje na usługę już niewykorzystywaną — skasowaną stronę w chmurze, GitHub Pages, stary hosting — przez zarejestrowanie tej usługi na siebie. Typowy scenariusz przy WordPressie: po likwidacji środowiska testowego (staging.firma.pl) zostaje wpis DNS, a ktoś podpina pod niego własną stronę z phishingiem. |
TAB. 5