서버사이드 요청 위조 (SSRF)

// 변경 전: 사용자 입력 URL을 그대로 요청 -> SSRF 가능
const express = require("express");
const axios = require("axios");
const app = express();

app.get("/proxy", async (req, res) => {
  try {
    const url = req.query.url; // 예: http://127.0.0.1:8080/admin
    if (!url) return res.status(400).send("url required");

    // 취약: 사용자가 준 URL을 그대로 사용
    const resp = await axios.get(url, { timeout: 5000 });
    res.send(resp.data);
  } catch (e) {
    res.status(502).send("bad gateway");
  }
});

app.listen(3000);

// 변경 후: 식별자 → 고정 URL 매핑 + 안전한 path 제한
const express = require("express");
const axios = require("axios");
const app = express();

// 1) 허용된 서비스 식별자 → 고정 base URL 매핑
const SERVICE_BASE = new Map([
  ["status", new URL("https://status.example.com")],
  ["api", new URL("https://api.example.com")],
]);

// 2) path 허용 목록: 하나의 '/' 로 시작하고 영숫자, /, -, _만 허용
//    '//evil.example' 같은 protocol-relative URL과 '..' 경로는 거부한다.
const SAFE_PATH = /^\/(?!\/)[A-Za-z0-9_\/-]*$/;

app.get("/proxy-safe", async (req, res) => {
  try {
    const { service, path = "/" } = req.query;

    // 서비스 아이디 검증(allow-list)
    if (typeof service !== "string" || typeof path !== "string") {
      return res.status(400).send("invalid parameters");
    }
    const base = SERVICE_BASE.get(service);
    if (!base) return res.status(400).send("invalid service");

    // 경로 검증 및 정규화
    if (!SAFE_PATH.test(path) || path.includes("..")) {
      return res.status(400).send("invalid path");
    }

    // URL 표준 파서 사용으로 조합 오류 방지
    const target = new URL(path, base);
    if (target.origin !== base.origin) {
      return res.status(400).send("invalid target");
    }

    // 리다이렉트 제한 및 타임아웃 설정
    const resp = await axios.get(target.toString(), {
      timeout: 4000,
      maxRedirects: 0, // 리다이렉트로 내부망 우회 방지
      responseType: "arraybuffer",
      maxContentLength: 1024 * 1024,
      validateStatus: (s) => s < 400,
    });

    // 원격 콘텐츠를 현재 애플리케이션 origin의 HTML로 실행하지 않음
    res.status(resp.status);
    res.set("Content-Type", "application/octet-stream");
    res.set("X-Content-Type-Options", "nosniff");
    res.send(Buffer.from(resp.data));
  } catch (e) {
    // 리다이렉트/검증 실패 등은 상세 정보 노출 없이 에러 처리
    res.status(502).send("bad gateway");
  }
});

app.listen(3000);