SSRF Sheriff

यह Go में लिखा गया एक SSRF परीक्षण शेरिफ है। इसे मूल रूप से Uber H1-4420 2019 London Live Hacking Event के लिए बनाया गया था, लेकिन अब इसे अन्य संगठनों द्वारा कार्यान्वित करने और इसमें योगदान देने के लिए ओपन-सोर्स किया जा रहा है।

विशेषताएँ

किसी भी HTTP विधि (GET, POST, PUT, DELETE, आदि) पर प्रतिक्रिया दें
कॉन्फ़िगर करने योग्य गुप्त टोकन (देखें base.example.yaml)
सामग्री-विशिष्ट प्रतिक्रियाएँ
- प्रतिक्रिया बॉडी में गुप्त टोकन के साथ
  - JSON
  - XML
  - HTML
  - CSV
  - TXT
  - PNG
  - JPEG
- प्रतिक्रिया बॉडी में टोकन के बिना
  - GIF
  - MP3
  - MP4

उपयोग

go get github.com/teknogeek/ssrf-sheriff
cd $GOPATH/src/github.com/teknogeek/ssrf-sheriff
cp config/base.example.yaml config/base.yaml

# ... configure ...

go run main.go

उदाहरण अनुरोध:

Plaintext

$ curl -sSD- http://127.0.0.1:8000/foobar
HTTP/1.1 200 OK
Content-Type: text/plain
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:36 GMT
Content-Length: 21

SUP3R_S3cret_1337_K3y

XML

$ curl -sSD- http://127.0.0.1:8000/foobar.xml
HTTP/1.1 200 OK
Content-Type: application/xml
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:41 GMT
Content-Length: 81

<SerializableResponse><token>SUP3R_S3cret_1337_K3y</token></SerializableResponse>

TODO

गुप्त टोकन के साथ मान्य प्रतिक्रियाओं को गतिशील रूप से उत्पन्न करें
- GIF
- MP3
- MP4
HTTP प्रतिक्रिया में गुप्त/रहस्य प्रति-अनुरोध उत्पन्न/निर्मित/हस्ताक्षरित किए जाएँ, न कि सभी अनुरोधों के लिए एक ही गुप्त वापस किया जाए
TLS समर्थन

श्रेय

Frans Rosén द्वारा प्रेरित (और अनुरोधित) उनके BountyCon '19 सिंगापुर में टॉक के दौरान

MIT लाइसेंस के तहत जारी किया गया।

ssrf-sheriff