So führen Sie einen SSRF-Test durch: Technisches Handbuch 2026

SSRF-Sicherheitslücken verstehen

Server-Side Request Forgery, allgemein bekannt als SSRF, ist eine schwerwiegende Sicherheitslücke, bei der ein Angreifer eine serverseitige Anwendung dazu verleitet, HTTP-Anfragen an ein beliebiges Ziel zu senden. Bei einer typischen Web-Interaktion sendet ein Benutzer eine Anfrage an einen Server, und der Server antwortet darauf. In einem SSRF-Szenario wird der Server jedoch dazu gezwungen, als Proxy zu fungieren und auf interne Systeme, Cloud-Metadatendienste oder externe APIs von Drittanbietern zuzugreifen, auf die der Angreifer keinen direkten Zugriff hat.

Auch im Jahr 2026 hat SSRF für Sicherheitsforscher weiterhin höchste Priorität, da moderne Infrastrukturen in hohem Maße auf miteinander vernetzte Microservices und Cloud-Umgebungen angewiesen sind. Wenn ein Server angreifbar ist, wird er im Grunde genommen zu einem „Insider“ für den Angreifer, der Firewalls und Netzwerksegmentierungen umgeht, die normalerweise sensible interne Daten schützen.

Der Kernmechanismus

Die Sicherheitslücke tritt in der Regel auf, wenn eine Anwendung eine vom Benutzer eingegebene URL übernimmt und diese ohne ordnungsgemäße Überprüfung zum Abrufen von Daten verwendet. Beispielsweise könnte eine Funktion, mit der Nutzer „ein Bild über eine URL importieren“ oder „eine Vorschau einer Website anzeigen“ können, anfällig sein. Wenn der Backend-Code das Ziel nicht einschränkt, kann ein Angreifer eine interne IP-Adresse wie 127.0.0.1 oder einen Metadaten-Endpunkt der privaten Cloud eingeben, um sensible Konfigurationsdateien oder Anmeldedaten abzugreifen.

Gängige SSRF-Testmethoden

Bei der Durchführung eines SSRF-Tests werden Parameter identifiziert, die URLs oder Hostnamen akzeptieren, und es wird versucht, den ausgehenden Datenverkehr des Servers umzuleiten. Sicherheitsexperten wenden verschiedene Methoden an, um festzustellen, ob ein Server Anweisungen blind befolgt oder ob er über eine robuste Eingabefilterung verfügt.

Erkennung außerhalb des Frequenzbereichs

Eine der effektivsten Methoden zum Testen auf SSRF ist die Out-of-Band-Technik (OOB). Dazu muss dem Zielserver eine URL bereitgestellt werden, die auf einen Server verweist, den Sie kontrollieren. Wenn Ihr Server eine eingehende Verbindung von der IP-Adresse der Zielanwendung protokolliert, ist die Sicherheitslücke bestätigt. Zu diesem Zweck werden häufig Tools wie Burp Suite Collaborator oder einfache Python-basierte Webserver verwendet. Durch Ausführen eines Befehls wie „sudo python3 -m http.server 80“ auf einem öffentlich zugänglichen VPS kann ein Tester auf Ping-Anfragen von der anfälligen Anwendung achten.

Interne Port-Abfrage

Sobald eine einfache SSRF bestätigt ist, versuchen Tester häufig, das interne Netzwerk zu kartieren. Durch Ändern der Portnummer in der angeforderten URL (z. B. http://127.0.0.1:22 oder http://127.0.0.1:6379) kann ein Angreifer feststellen, welche Dienste auf dem lokalen Rechner laufen. Unterschiede bei den Antwortzeiten oder Fehlermeldungen (wie z. B. „Verbindung abgelehnt“ vs. „Timeout“) helfen dabei, offene Ports für Dienste wie SSH, Redis oder Datenbanken zu identifizieren, die nicht für das öffentliche Internet zugänglich sind.

Nutzung von Cloud-Metadaten-Diensten

Im Jahr 2026 werden die meisten Unternehmensanwendungen auf Cloud-Plattformen wie AWS, Google Cloud oder Azure gehostet. Diese Plattformen bieten einen Metadatendienst an, auf den über eine bestimmte, nicht routbare IP-Adresse zugegriffen werden kann: 169.254.169.254. Dieser Endpunkt ist ein primäres Ziel bei einem SSRF-Test, da er häufig sensible Informationen enthält, darunter Instanz-IDs, Netzwerkkonfigurationen und vor allem temporäre Anmeldedaten für IAM-Rollen.

Cloud-Anbieter	Beispiel für einen Metadaten-Endpunkt	Mögliche Auswirkungen
AWS	http://169.254.169.254/latest/meta-data/	Diebstahl von IAM-Zugangsdaten
Google Cloud	http://metadata.google.internal/computeMetadata/v1/	Dienstkontotoken
Azur	http://169.254.169.254/metadata/instance	Daten zur Instanzkonfiguration

Verwaltete Passwörter abrufen

Eine fortgeschrittene Ausnutzung kann zur vollständigen Kompromittierung der Domain führen. In manchen Umgebungen nutzen Angreifer SSRF, um mit internen Windows-Diensten zu interagieren. Durch die Nutzung bestimmter Berechtigungen wie „ReadGMSAPassword“ kann ein Tester NTLM-Handshakes oder Passwörter für verwaltete Dienstkonten abrufen. Dies zeigt, dass es bei SSRF nicht nur um das Auslesen von Dateien geht; es ist vielmehr ein Einfallstor für die laterale Bewegung innerhalb der Infrastruktur eines Unternehmens.

Umgehung gängiger Sicherheitsfilter

Entwickler versuchen häufig, SSRF zu block-53">verhindern, indem sie bestimmte IP-Adressen wie 127.0.0.1 oder Schlüsselwörter wie „localhost“ auf eine Sperrliste setzen. Diese Filter werden jedoch häufig mithilfe verschiedener Verschlüsselungs- und Umleitungstricks umgangen. Ein gründlicher SSRF-Test muss diese Umgehungsversuche umfassen, um sicherzustellen, dass die Abwehr wirklich „von Grund auf sicher“ ist.

URL-Kodierung und Verschleierung

Angreifer können IP-Adressen in dezimaler oder hexadezimaler Darstellung verwenden, um einfache Filter zum Abgleich von Zeichenfolgen zu umgehen. Beispielsweise lässt sich 127.0.0.1 im Dezimalsystem als 2130706433 darstellen. Zu den weiteren Techniken gehört die Verwendung von „nip.io“ oder ähnlichen DNS-Diensten, die benutzerdefinierte Subdomains in interne IP-Adressen auflösen und so die Validierungslogik des Servers effektiv austricksen.

Umleitungsbasierte Umgehungen

Wenn eine Anwendung die ursprüngliche URL validiert, aber Weiterleitungen folgt, kann ein Tester ein Skript auf einer „zugelassenen“ externen Domain hosten, das eine 302-Weiterleitung zu einer internen Ressource auslöst. Der Server überprüft die erste URL, stellt fest, dass sie sicher ist, ruft dann aber während der Weiterleitungsphase die sensiblen internen Daten ab. Dies unterstreicht, wie wichtig es ist, die Option „Weiterleitungen verfolgen“ in serverseitigen HTTP-Clients zu deaktivieren, sofern dies nicht unbedingt erforderlich ist.

Sicherheit im modernen Handel

In Umgebungen mit hohem Risiko, wie beispielsweise Börsen für digitale Vermögenswerte, hat Sicherheit oberste Priorität. Plattformen müssen sicherstellen, dass ihre internen APIs und Wallet-Infrastrukturen vor SSRF- und anderen Injektionsangriffen geschützt sind. Wenn Sie an sicheren Handelsumgebungen interessiert sind, können Sie Ihre Registrierung bei WEEX abschließen, um Zugang zu einer Plattform zu erhalten, die auf robusten Sicherheitsprotokollen basiert. Ganz gleich, ob man sich mit dem BTC-USDT-Spot-Handel beschäftigt oder sich mit fortgeschrittenem BTC-USDT">Terminhandel auseinandersetzt – im Jahr 2026 ist es für jeden Nutzer unerlässlich, die Sicherheitsvorkehrungen der Plattform zu verstehen.

Sanierungsmaßnahmen und bewährte Verfahren

Die Abwehr von SSRF erfordert einen mehrschichtigen Ansatz. Die wirksamste Schutzmaßnahme ist ein „Whitelist“-Ansatz, bei dem die Anwendung nur Anfragen an eine vordefinierte Liste vertrauenswürdiger Domains und IP-Adressen zulässt. Wenn die Anwendung beliebige Benutzereingaben zulassen muss, sollten diese streng anhand eines regulären Ausdrucks validiert und über einen speziellen, isolierten Proxy-Dienst verarbeitet werden.

Schutzmaßnahmen auf Netzwerkebene

Auf der Netzwerkebene sollten Administratoren strenge Regeln für die ausgehende Firewall implementieren. Ein Webserver sollte grundsätzlich keine Verbindungen zu internen Datenbankservern oder Metadaten-Endpunkten herstellen dürfen. Durch die Durchsetzung des Prinzips der geringsten Berechtigungen können Unternehmen sicherstellen, dass selbst bei der Entdeckung einer SSRF-Sicherheitslücke der potenzielle Schaden auf einen sehr kleinen Bereich beschränkt bleibt.

Steuerungen auf Anwendungsebene

Entwickler sollten moderne Bibliotheken verwenden, die eine detaillierte Steuerung von HTTP-Anfragen ermöglichen. Dazu gehört auch die Deaktivierung der Unterstützung für nicht mehr verwendete Protokolle wie gopher://, file:// oder ftp://, die häufig bei komplexen SSRF-Angriffen genutzt werden, um lokale Dateien auszulesen oder mit Nicht-HTTP-Diensten zu interagieren. Die regelmäßige Aktualisierung von Abhängigkeiten und die Durchführung automatisierter Sicherheitsscans sind ebenfalls entscheidende Maßnahmen, um angesichts der aktuellen Bedrohungslage für Sicherheit zu sorgen.