بررسی جامع OWASP Top 10 و روشهای جلوگیری از حملات امنیتی وب

امنیت برنامه‌های تحت وب یکی از مهم‌ترین چالش‌های دنیای فناوری اطلاعات در عصر دیجیتال است. امروزه بسیاری از خدمات حیاتی مانند بانکداری آنلاین، فروشگاه‌های اینترنتی، سامانه‌های دولتی و سیستم‌های سازمانی بر بستر وب اجرا می‌شوند. همین موضوع باعث شده است که مهاجمان سایبری توجه ویژه‌ای به آسیب‌پذیری‌های وب داشته باشند. سازمان OWASP یا Open Web Application Security Project یکی از معتبرترین مراجع در حوزه امنیت نرم‌افزار است که هر چند سال یک بار فهرستی از مهم‌ترین آسیب‌پذیری‌های امنیتی در برنامه‌های وب منتشر می‌کند. این فهرست با نام OWASP Top 10 شناخته می‌شود و به توسعه‌دهندگان و متخصصان امنیت کمک می‌کند تا مهم‌ترین ریسک‌های امنیتی را شناسایی و مدیریت کنند.

OWASP Top 10 چیست و چرا در امنیت وب اهمیت دارد؟

OWASP Top 10  یک سند داینامیک است که بر اساس داده‌های جمع‌آوری شده از سراسر جهان، نمایش‌دهنده مهم‌ترین ریسک‌های امنیتی برنامه‌های وب در یک دوره زمانی مشخص است. این فهرست به مرور زمان به‌روزرسانی می‌شود تا منعکس‌کننده تغییرات در چشم‌انداز تهدیدات و تکنیک‌های مهاجمان باشد. درک عمیق هر یک از موارد موجود در این لیست برای ایجاد برنامه‌های وب امن امری ضروری است. در ادامه به بررسی جامع هر یک از این موارد و ارائه راهکارهای عملی برای جلوگیری از آن‌ها خواهیم پرداخت.

Broken Access Control چیست؟ بررسی شکست در کنترل دسترسی

شکست در کنترل دسترسی یکی از رایج‌ترین و خطرناک‌ترین آسیب‌پذیری‌هاست. کنترل دسترسی مشخص می‌کند که چه کاربری اجازه دسترسی به چه منابعی را دارد. در صورتی که این کنترل به درستی پیاده‌سازی نشود، کاربران می‌توانند به اطلاعات یا قابلیت‌هایی دسترسی پیدا کنند که مجاز به استفاده از آن‌ها نیستند. این می‌تواند منجر به افشای اطلاعات حساس، تغییر یا حذف داده‌ها، یا حتی دسترسی به بخش‌های مدیریتی سیستم شود.

نمونه حمله:
فرض کنید در یک سیستم مدیریت کاربران، شناسه کاربر (user_id) در آدرس URL قرار دارد، مانند https://example.com/profile?user_id=123. اگر کاربری با شناسه 123 بتواند با تغییر مقدار user_id به user_id=456، به پروفایل کاربر دیگری دسترسی پیدا کند و اطلاعات او را مشاهده کند، این یک نمونه کلاسیک از شکست در کنترل دسترسی است. در این حالت، سیستم به درستی بررسی نکرده است که آیا کاربر وارد شده (با شناسه 123) مجوز دسترسی به پروفایل کاربر 456 را دارد یا خیر.

روش جلوگیری:

• بررسی مجوز در سمت سرور: اطمینان حاصل کنید که تمام بررسی‌های دسترسی در سمت سرور انجام می‌شود و تنها به اعتبارسنجی در سمت کلاینت (مرورگر) اکتفا نکنید.
• پیاده‌سازی مدل‌های Role-Based Access Control (RBAC): دسترسی‌ها را بر اساس نقش‌های کاربران (مانند مدیر، کاربر عادی، مهمان) تعریف کنید و به هر نقش مجوزهای لازم را اعطا نمایید.
• اصل حداقل امتیاز (Principle of Least Privilege): به هر کاربر یا سرویس تنها حداقل مجوزهای لازم برای انجام وظایفش را اعطا کنید.
• انجام تست‌های امنیتی منظم: تست‌های نفوذ و اسکنرهای امنیتی می‌توانند به شناسایی نقاط ضعف در کنترل دسترسی کمک کنند.
• مستندسازی دقیق: سیاست‌های دسترسی را به وضوح مستند کنید و اطمینان حاصل کنید که توسعه‌دهندگان از آن‌ها پیروی می‌کنند.

Cryptographic Failures چیست؟ خطاهای رمزنگاری در امنیت وب

این آسیب‌پذیری زمانی رخ می‌دهد که داده‌های حساس به درستی رمزنگاری نشوند، از الگوریتم‌های رمزنگاری ضعیف استفاده شود، یا کلیدهای رمزنگاری به درستی مدیریت نشوند. اطلاعاتی مانند رمز عبور، اطلاعات کارت بانکی، اطلاعات شخصی هویتی (PII)، یا داده‌های محرمانه سازمانی باید همیشه به صورت امن ذخیره و منتقل شوند تا در صورت دسترسی غیرمجاز، قابل خواندن نباشند.

نمونه حمله:
اگر یک وب‌سایت رمز عبور کاربران را به صورت متن ساده (Plaintext) در پایگاه داده ذخیره کند، در صورت نفوذ مهاجم به پایگاه داده، تمامی رمزهای عبور کاربران به راحتی قابل مشاهده خواهند بود. این امر به مهاجم اجازه می‌دهد تا حساب‌های کاربری را تصاحب کند. همچنین، استفاده از الگوریتم‌های ضعیف مانند MD5 برای هش کردن رمز عبور، حتی اگر به صورت هش ذخیره شوند، می‌تواند با استفاده از جداول رنگین‌کمان (Rainbow Tables) یا حملات Brute Force به راحتی شکسته شود.

روش جلوگیری:

• استفاده از پروتکل HTTPS: برای تمامی ارتباطات بین مرورگر کاربر و سرور، به خصوص در هنگام انتقال داده‌های حساس، از HTTPS استفاده کنید تا داده‌ها در مسیر رمزنگاری شوند.
• الگوریتم‌های هش امن: برای ذخیره رمزهای عبور، از الگوریتم‌های هش قوی و مدرن مانند bcrypt، scrypt یا Argon2 که با الگوریتم‌های Salt و Stretch طراحی شده‌اند، استفاده کنید.
• رمزنگاری داده‌های حساس در حال سکون (At Rest): اطلاعات حساس ذخیره شده در پایگاه داده یا فایل‌ها را نیز رمزنگاری کنید.
• مدیریت صحیح کلیدهای رمزنگاری: کلیدهای رمزنگاری باید به صورت امن تولید، ذخیره، و مدیریت شوند و دسترسی به آن‌ها محدود باشد.
• اجتناب از الگوریتم‌های منسوخ شده: از الگوریتم‌های رمزنگاری و هش منسوخ شده مانند DES، RC4، MD5 و SHA-1 خودداری کنید.

Injection چیست؟ بررسی حملات تزریق در برنامه‌های وب

حملات تزریق زمانی رخ می‌دهند که داده‌های ورودی کاربر بدون بررسی و اعتبارسنجی مناسب، به عنوان بخشی از یک دستور یا کوئری به یک مفسر (Interpreter) ارسال شوند. رایج‌ترین نوع این حملات SQL Injection است، اما حملات تزریق می‌توانند شامل تزریق به دستورات سیستم عامل (OS Command Injection) ، تزریق کد جاوااسکریپت (Cross-Site Scripting – XSS) و موارد دیگر نیز باشند.

نمونه حمله:
در فرم ورود یک وب‌سایت که از SQL برای احراز هویت استفاده می‌کند، مهاجم می‌تواند در فیلد نام کاربری، رشته‌ای مانند ‘ OR ‘1’=’1 را وارد کند. اگر سیستم به صورت ناامن کوئری SQL را بسازد، این رشته ممکن است به صورت زیر در کوئری قرار گیرد: SELECT * FROM users WHERE username = ” OR ‘1’=’1′ AND password = ‘…’. از آنجا که شرط ‘1’=’1′ همیشه درست است، این کوئری ممکن است بدون نیاز به رمز عبور صحیح، کاربر را وارد سیستم کند.

روش جلوگیری:

• استفاده از (Prepared Statements) با پارامترهای جایگزین : این روش داده‌های ورودی را از کد دستور جدا می‌کند و از تفسیر شدن آن‌ها به عنوان بخشی از کد جلوگیری می‌کند. این امن‌ترین روش برای جلوگیری از SQL Injection  است.
• اعتبارسنجی ورودی کاربران: تمام ورودی‌های دریافتی از کاربران را بر اساس نوع داده، طول، و کاراکترهای مجاز اعتبارسنجی کنید. از لیست سیاه (Blacklisting) کاراکترهای مخرب اجتناب کرده و به لیست سفید (Whitelisting) اتکا کنید.
• استفاده از ORM های امن: Object-Relational Mappers (ORM) مانند Hibernate (Java) یا SQLAlchemy (Python)  معمولاً مکانیزم‌های داخلی برای جلوگیری از SQL Injection دارند.
• کدینگ خروجی:(Output Encoding) اطمینان حاصل کنید که داده‌هایی که از پایگاه داده یا منابع دیگر دریافت و در صفحه نمایش داده می‌شوند، به درستی کدگذاری شده‌اند تا از حملات XSS جلوگیری شود.

Insecure Design چیست؟ خطرات طراحی ناامن در نرم‌افزار

این دسته به آسیب‌پذیری‌هایی اشاره دارد که ریشه در نقص‌های طراحی سیستم دارند، نه لزوماً خطاهای پیاده‌سازی. اگر در مرحله طراحی معماری و منطق کسب‌وکار به تهدیدهای امنیتی توجه کافی نشود، حتی اگر کد به صورت کاملاً صحیح پیاده‌سازی شود، برنامه می‌تواند همچنان ناامن باشد. این یکی از دسته‌های جدید در OWASP Top 10 است که بر اهمیت تفکر امنیتی از ابتدای چرخه عمر توسعه نرم‌افزار تأکید دارد.

نمونه حمله:
در یک سیستم بازیابی رمز عبور، اگر مکانیزم ارسال کد بازیابی به ایمیل کاربر، هیچ محدودیتی برای تعداد دفعات ارسال در یک بازه زمانی مشخص نداشته باشد، مهاجم می‌تواند با ارسال مکرر درخواست بازیابی، سرور را با درخواست‌های غیرضروری مشغول کند (مانند حمله Denial of Service) یا از این قابلیت برای جمع‌آوری اطلاعات (مانند اعتبار ایمیل‌های کاربران) سوء استفاده کند. مثالی دیگر، طراحی یک سیستم مالی است که در آن کاربران عادی بتوانند تراکنش‌های مالی را مشاهده کنند، در حالی که این اطلاعات باید فقط برای مدیران قابل مشاهده باشد.

روش جلوگیری:

• استفاده از Threat Modeling: در مرحله طراحی، تهدیدهای احتمالی را شناسایی و ارزیابی کنید. ابزارهایی مانند STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege)  می‌توانند مفید باشند.
• طراحی امن از ابتدا: الزامات امنیتی را به عنوان بخشی جدایی‌ناپذیر از نیازمندی‌های اولیه پروژه در نظر بگیرید.
• بازبینی طراحی امن: طرح‌های معماری و منطق کسب‌وکار را توسط متخصصان امنیتی بازبینی کنید.
• استفاده از الگوهای طراحی امن: الگوهای طراحی شناخته شده که امنیت را در نظر می‌گیرند، مانند الگوهای کنترل دسترسی، احراز هویت و مدیریت نشست (Session Management).

Security Misconfiguration چیست؟ پیکربندی نادرست امنیتی

پیکربندی نادرست یکی از رایج‌ترین دلایل نفوذ به سیستم‌ها است. این مشکل می‌تواند در لایه‌های مختلف نرم‌افزاری و زیرساختی رخ دهد: سرورهای وب مانند Apache) ، Nginx)، سرورهای برنامه مانند Tomcat) ،IIS)، پایگاه‌های داده مانند MySQL) ،PostgreSQL)، سیستم عامل‌ها، سرویس‌های ابری مانند AWS ، Azure و چارچوب‌های نرم‌افزاری.

نمونه حمله:

• فعال بودن: Directory Listing اگر در سرور وب، قابلیت نمایش لیست فایل‌ها و پوشه‌ها Directory) (Listing  فعال باشد، مهاجم می‌تواند با مرور ساختار دایرکتوری‌ها، به فایل‌های حساس مانند فایل‌های پیکربندی، لاگ‌ها، یا فایل‌های پشتیبان دسترسی پیدا کند.
• استفاده از حساب‌های پیش‌فرض با رمزهای عبور ضعیف: بسیاری از نرم‌افزارها با نام کاربری و رمز عبور پیش‌فرض عرضه می‌شوند. در صورت تغییر ندادن این اطلاعات، مهاجمان به راحتی می‌توانند به سیستم دسترسی پیدا کنند.
• فعال بودن سرویس‌های غیرضروری: فعال بودن سرویس‌ها یا پورت‌هایی که برای عملکرد برنامه لازم نیستند، سطح حمله را افزایش می‌دهد.

روش جلوگیری:

• حذف تنظیمات پیش‌فرض: پس از نصب هر نرم‌افزار یا سرویسی، تنظیمات پیش‌فرض را که اغلب ناامن هستند، تغییر دهید.
• به‌روزرسانی سیستم‌ها و نرم‌افزارها: اطمینان حاصل کنید که سیستم عامل، سرورها، پایگاه‌های داده و سایر مؤلفه‌ها همواره به‌روز هستند.
• استفاده از ابزارهای بررسی امنیتی: ابزارهایی مانند Nessus، OpenVAS یا ابزارهای خاص سرویس‌های ابری می‌توانند به شناسایی پیکربندی‌های نادرست کمک کنند.
• پیکربندی امن فایروال: فایروال‌ها را به درستی پیکربندی کنید تا فقط ترافیک مجاز امکان عبور داشته باشد.
• مدیریت صحیح پیکربندی ابری: در محیط‌های ابری، تنظیمات امنیتی سرویس‌ها (مانند S3 Buckets، Security Groups) را به دقت بررسی و پیکربندی کنید.

Vulnerable and Outdated Components چیست؟ خطر استفاده از مؤلفه‌های قدیمی

بسیاری از برنامه‌های وب مدرن بر پایه کتابخانه‌ها (Libraries)، چارچوب‌ها (Frameworks) و سایر مؤلفه‌های نرم‌افزاری ساخته می‌شوند. این مؤلفه‌ها به توسعه‌دهندگان کمک می‌کنند تا سریع‌تر و کارآمدتر کد بنویسند. با این حال، اگر این مؤلفه‌ها به‌روزرسانی نشوند و دارای آسیب‌پذیری‌های شناخته‌شده باشند، می‌توانند راه را برای مهاجمان باز کنند.

نمونه حمله:
استفاده از نسخه قدیمی یک کتابخانه محبوب جاوا اسکریپت که دارای آسیب‌پذیری شناخته‌شده‌ای مانند Remote Code Execution (RCE) است، به مهاجم اجازه می‌دهد تا با بهره‌برداری از این ضعف، کد مخرب را بر روی سرور شما اجرا کند. این می‌تواند منجر به سرقت داده‌ها، کنترل کامل سرور، یا انتشار بدافزار شود.

روش جلوگیری:

• به‌روزرسانی منظم وابستگی‌ها: وابستگی‌های پروژه (کتابخانه‌ها، فریم‌ورک‌ها) را به صورت منظم به آخرین نسخه‌های پایدار و امن به‌روزرسانی کنید.
• استفاده از ابزارهای مدیریت وابستگی: ابزارهایی مانند Dependabot برای GitHub ،npm audit (برای Node.js)، pip-audit (برای Python) یا (OWASP Dependency-(Check می‌توانند به شناسایی وابستگی‌های آسیب‌پذیر کمک کنند.
• نظارت برbulletin های امنیتی: از منابع معتبر امنیتی مانند CVE (Common Vulnerabilities and Exposures) و bulletins منتشر شده توسط توسعه‌دهندگان کتابخانه‌ها مطلع شوید.
• کاهش وابستگی‌های غیرضروری: تنها از کتابخانه‌ها و مؤلفه‌هایی استفاده کنید که واقعاً به آن‌ها نیاز دارید.

خطا در شناسایی و احراز هویت (Identification and Authentication Failures) چیست؟

سیستم‌های شناسایی (Identification) و احراز هویت (Authentication) وظیفه تأیید هویت کاربران و اطمینان از اینکه آن‌ها همان کسانی هستند که ادعا می‌کنند، بر عهده دارند. اگر این سیستم‌ها به درستی پیاده‌سازی نشوند، مهاجمان می‌توانند از ضعف‌های آن‌ها برای تصاحب حساب‌های کاربری، دسترسی غیرمجاز، یا ایجاد حساب‌های کاربری جعلی سوء استفاده کنند.

نمونه حمله:

• حملات (Brute Force): اگر سیستم احراز هویت هیچ محدودیتی برای تعداد دفعات تلاش برای ورود (Login Attempts) نداشته باشد، مهاجم می‌تواند با استفاده از ابزارهای خودکار، رمزهای عبور احتمالی را امتحان کند تا به حساب کاربری دسترسی پیدا کند.
• ضعف در مدیریت نشست: (Session Management) اگر شناسه نشست (Session ID) قابل حدس زدن باشد، یا در کوکی‌ها به صورت امن ذخیره نشود، مهاجم می‌تواند شناسه نشست کاربر دیگری را بدزدد و هویت او را جعل کند (Session Hijacking).
• عدم تأیید صحت اطلاعات احراز هویت: در برخی موارد، سیستم ممکن است اطلاعات ورودی را به درستی بررسی نکند و به مهاجم اجازه دهد با اطلاعات نادرست وارد شود.

روش جلوگیری:

• استفاده از احراز هویت چندمرحله‌ای: (Multi-Factor Authentication – MFA) اضافه کردن یک یا چند لایه امنیتی علاوه بر رمز عبور (مانند کد پیامکی، اثر انگشت، یا توکن) امنیت حساب‌ها را به شدت افزایش می‌دهد.
• محدود کردن تعداد تلاش ورود: پس از چند تلاش ناموفق، حساب کاربری را موقتاً مسدود کنید یا نیاز به تأیید هویت اضافی مانند (CAPTCHA) قرار دهید.
• استفاده از سیاست‌های رمز عبور قوی: کاربران را تشویق به استفاده از رمزهای عبور پیچیده، طولانی و منحصربه‌فرد کنید و از استفاده از رمزهای عبور ضعیف جلوگیری کنید.
• مدیریت امن نشست: شناسه نشست باید طولانی، تصادفی و به صورت امن منتقل و ذخیره شود. پس از خروج کاربر، شناسه نشست باید باطل شود.
• استفاده از پروتکل‌های امن: برای انتقال اطلاعات احراز هویت و مدیریت نشست از HTTPS استفاده کنید.

نقص در یکپارچگی نرم‌افزار و داده (Software and Data Integrity Failures) چیست؟

این آسیب‌پذیری زمانی رخ می‌دهد که سیستم نرم‌افزاری یا داده‌های درون آن، بدون بررسی صحت و اطمینان از اینکه دستکاری نشده‌اند، مورد استفاده یا اجرا قرار گیرند. این می‌تواند در فرآیندهای مختلفی از جمله به‌روزرسانی نرم‌افزار، تحویل برنامه (Delivery Pipeline)، یا استفاده از داده‌های ذخیره شده اتفاق بیفتد.

نمونه حمله:

• نصب به‌روزرسانی مخرب: اگر یک نرم‌افزار بدون بررسی امضای دیجیتال (Digital Signature) یا هش فایل، یک به‌روزرسانی را از یک منبع غیرقابل اعتماد نصب کند، مهاجم می‌تواند با جایگزین کردن فایل به‌روزرسانی با یک نسخه مخرب، کدهای ناخواسته را وارد سیستم کند.
• عدم تأیید داده‌های ورودی حیاتی: در یک سیستم مالی، اگر پردازش یک تراکنش بدون تأیید صحت مقادیر ورودی (مانند مبلغ) انجام شود، ممکن است داده‌ها دستکاری شده و منجر به خسارت مالی شود.
• انتقال ناامن داده‌ها: اگر داده‌ها در طول انتقال بین سرویس‌ها یا سیستم‌ها رمزنگاری و امضا نشوند، مهاجم می‌تواند آن‌ها را در حین عبور دستکاری کند.

روش جلوگیری:

• استفاده از امضای دیجیتال: برای اطمینان از یکپارچگی و اصالت فایل‌ها (مانند به‌روزرسانی‌ها، بسته‌های نرم‌افزاری) از امضای دیجیتال استفاده کنید و قبل از اجرا، امضا را تأیید کنید.
• اعتبارسنجی داده‌ها: تمام داده‌های ورودی و خروجی حیاتی را اعتبارسنجی و صحت‌سنجی کنید.
• ایمن‌سازی فرایند CI/CD: اطمینان حاصل کنید که فرایندهای یکپارچه‌سازی و تحویل مستمر (CI/CD) امن هستند و دسترسی به آن‌ها محدود است. از ابزارهایی برای تأیید یکپارچگی آرتیفکت‌ها (Artifacts) استفاده کنید.
• استفاده از پروتکل‌های امن برای انتقال داده: هنگام انتقال داده‌های حساس بین سیستم‌ها، از پروتکل‌های امن مانند TLS/SSL استفاده کنید.
• بررسی صحت فایل‌ها: اطمینان حاصل کنید که فایل‌ها در طول ذخیره‌سازی یا انتقال دچار خرابی یا دستکاری نشده‌اند.

ضعف در ثبت و پایش رویدادهای امنیتی (Security Logging and Monitoring Failures) چیست؟

ثبت (Logging) و پایش (Monitoring) رویدادهای امنیتی یکی از پایه‌های اصلی دفاع سایبری است. بدون داشتن سوابق کافی از فعالیت‌های سیستم و توانایی تحلیل آن‌ها، تشخیص حملات در حال وقوع یا پس از وقوع آن‌ها بسیار دشوار خواهد بود.

نمونه حمله:

• عدم ثبت تلاش‌های ناموفق ورود: اگر تلاش‌های ناموفق ورود به سیستم ثبت نشوند، تیم امنیتی نمی‌تواند حملات Brute Force را که به طور مداوم در حال انجام هستند، شناسایی کند.
• ثبت ناکافی اطلاعات: ثبت تنها بخش کوچکی از اطلاعات مربوط به یک رویداد امنیتی (مانند زمان وقوع، نوع رویداد، اما نه هویت کاربر یا IP مبدأ) تحلیل را بی‌فایده می‌سازد.
• عدم وجود ابزارهای پایش: حتی اگر لاگ‌ها ثبت شوند، بدون ابزارهای مناسب برای جمع‌آوری، ذخیره‌سازی متمرکز و تحلیل آنی لاگ‌ها، کشف تهدیدها زمان‌بر و ناکارآمد خواهد بود.

روش جلوگیری:

• ثبت جامع و دقیق رویدادها: تمام رویدادهای امنیتی مهم، از جمله تلاش‌های ورود موفق و ناموفق، تغییرات در مجوزها، خطاهای سیستم، دسترسی به داده‌های حساس، و فعالیت‌های مشکوک را با جزئیات کامل ثبت کنید.
• استفاده از سیستم‌های مانیتورینگ امنیتی (SIEM): ابزارهایی مانند Splunk، ELK Stack (Elasticsearch, Logstash, Kibana) یا Azure Sentinel می‌توانند به جمع‌آوری، تحلیل و هشداردهی در مورد رویدادهای امنیتی کمک کنند.
• ذخیره‌سازی مناسب لاگ‌ها: لاگ‌ها باید به صورت امن ذخیره شوند و دسترسی به آن‌ها محدود باشد. همچنین، باید برای مدت زمان مشخصی نگهداری شوند تا در صورت نیاز به بررسی‌های تاریخی مورد استفاده قرار گیرند.
• تحلیل مداوم رویدادها: لاگ‌ها را به صورت مداوم تحلیل کنید و هشدارهای امنیتی را جدی بگیرید.

Server-Side Request Forgery (SSRF) چیست؟ 

Server-Side Request Forgery (SSRF) یک آسیب‌پذیری است که به مهاجم اجازه می‌دهد تا سرور برنامه وب را مجبور کند که درخواست‌های HTTP (یا سایر پروتکل‌ها) را به منابع داخلی یا خارجی ارسال کند. این حملات زمانی رخ می‌دهند که یک برنامه وب یک URL را از کاربر دریافت کرده و بدون اعتبارسنجی مناسب، آن URL را برای پردازش یا دریافت محتوا به سرور خود ارسال کند.

نمونه حمله:
فرض کنید یک برنامه وب قابلیتی برای دریافت تصویر از طریق URL دارد. مهاجم می‌تواند به جای یک URL تصویر، آدرس یک سرویس داخلی در شبکه خصوصی سرور را وارد کند، مانند http://127.0.0.1:8080/admin. اگر سرور برنامه وب این درخواست را بدون محدودیت و اعتبارسنجی انجام دهد، مهاجم می‌تواند به سرویس‌های داخلی که معمولاً در معرض اینترنت نیستند، دسترسی پیدا کند. این می‌تواند شامل دسترسی به کنسول‌های مدیریتی، پایگاه‌های داده داخلی، یا سرویس‌های دیگر در شبکه داخلی باشد.

روش جلوگیری:

• اعتبارسنجی دقیق URL ها: همیشه URL های دریافتی از کاربر را به دقت اعتبارسنجی کنید. اطمینان حاصل کنید که URL فقط به دامنه‌ها و پروتکل‌های مجاز اشاره می‌کند.
• لیست سفید (Whitelisting) مقاصد: به جای لیست سیاه (Blacklisting) آدرس‌های ممنوعه، لیستی از مقاصد مجاز را تعریف کرده و فقط درخواست‌ها به آن مقاصد را اجازه دهید.
• محدود کردن دسترسی شبکه داخلی: دسترسی سرورهای برنامه وب به شبکه داخلی را به حداقل برسانید و از سرویس‌هایی که نیاز به دسترسی به منابع حساس داخلی دارند، فاصله دهید.
• استفاده از فایروال‌های مناسب: فایروال‌های شبکه و WAF (Web Application Firewall) می‌توانند به شناسایی و مسدود کردن ترافیک مشکوک SSRF کمک کنند.
• غیرفعال کردن قابلیت‌های غیرضروری: اگر برنامه نیازی به ارسال درخواست به URL های خارجی ندارد، این قابلیت را غیرفعال کنید.

جمع‌بندی OWASP Top 10 و اهمیت امنیت برنامه‌های وب

 OWASP Top 10 یک منبع حیاتی برای درک مهم‌ترین تهدیدهای امنیتی در برنامه‌های وب است. آشنایی توسعه‌دهندگان، مدیران سیستم و متخصصان امنیت با این آسیب‌پذیری‌ها و روش‌های جلوگیری از آن‌ها، نقشی اساسی در کاهش ریسک‌های امنیتی و حفاظت از داده‌ها و سیستم‌ها ایفا می‌کند. امنیت یک فرایند مداوم و پویا است که نیازمند آموزش مستمر، پیاده‌سازی بهترین شیوه‌ها، انجام تست‌های امنیتی منظم، و به‌روزرسانی مداوم سیستم‌ها و دانش فنی است. با تمرکز بر موارد ذکر شده در OWASP Top 10، می‌توانیم گامی بلند در جهت ساخت و نگهداری برنامه‌های وب امن‌تر برداریم.