Mitigasi Serangan SSRF dan DNS Rebinding pada Arsitektur Web Modern

Fitur web yang menerima URL dari pengguna — untuk pratinjau tautan, pengambilan konten, atau pemendekan alamat — selalu rentan terhadap Server-Side Request Forgery. Penyerang dapat memaksa server internal menghubungi metadata cloud, port manajemen, atau basis data lokal yang seharusnya tidak pernah terjangkau dari luar.

Mengapa SSRF berbahaya secara khusus

Nilai SSRF bagi penyerang terletak pada posisi servernya. Permintaan yang berasal dari dalam jaringan melewati firewall perimeter, sering membawa kredensial implisit, dan menjangkau layanan yang tidak pernah dirancang untuk menghadapi lalu lintas tidak tepercaya.

Sasaran klasiknya adalah endpoint metadata penyedia cloud pada alamat 169.254.169.254, yang dapat mengembalikan kredensial sementara dengan izin penuh. Namun sasaran yang lebih sering terlupakan justru ada di jaringan sendiri: panel administrasi internal, antarmuka basis data, dan layanan pemantauan yang dibiarkan tanpa autentikasi karena "toh hanya bisa diakses dari dalam".

DNS Rebinding dan celah antara dua waktu

Validasi yang memeriksa alamat IP lalu mengirim permintaan HTTP secara terpisah mengandung celah mendasar. Di antara kedua langkah itu ada jeda, dan DNS server milik penyerang dapat mengubah jawabannya di tengah jeda tersebut.

Alurnya sederhana. Domain penyerang pertama kali menjawab dengan alamat publik yang lolos validasi. Beberapa milidetik kemudian, saat permintaan sesungguhnya dikirim, resolusi kedua mengembalikan 127.0.0.1. Server memeriksa satu alamat dan menghubungi alamat lain — serangan yang dikenal sebagai TOCTOU, time-of-check to time-of-use.

Pertahanan yang benar-benar menutup celah

Kuncinya adalah menghapus jeda tersebut. Resolusi dilakukan satu kali, hasilnya diverifikasi, dan koneksi dibuka langsung ke alamat IP yang sudah diverifikasi itu dengan header Host yang disesuaikan. Dengan cara ini tidak ada resolusi kedua yang bisa disisipi.

Verifikasi wajib mencakup seluruh rentang privat RFC 1918, loopback, link-local 169.254.0.0/16, serta padanannya di IPv6 termasuk alamat IPv4-mapped seperti ::ffff:127.0.0.1. Pengalihan HTTP harus divalidasi ulang pada setiap langkah, bukan hanya pada URL awal, karena pengalihan adalah cara paling mudah melewati pemeriksaan yang hanya berjalan sekali.

Lapisan yang tidak boleh dilewatkan

Daftar hitam alamat selalu kalah dari kreativitas penyerang — notasi desimal, oktal, heksadesimal, dan berbagai bentuk penulisan IPv6 menyediakan terlalu banyak variasi. Daftar putih protokol dan port jauh lebih kokoh: izinkan hanya http dan https, hanya port 80 dan 443, dan tolak selebihnya tanpa kecuali.

Pertahanan di tingkat kode tetap perlu ditopang di tingkat jaringan. Menjalankan pengambil konten pada segmen jaringan terisolasi tanpa rute ke subnet internal mengubah SSRF yang berhasil dari insiden serius menjadi sekadar permintaan yang gagal. Dua lapisan itu bersama-sama, bukan salah satunya, yang membuat infrastruktur benar-benar aman.