SSRF Sheriff

Это шериф для тестирования SSRF, написанный на Go. Он был изначально создан для Uber H1-4420 2019 London Live Hacking Event, но теперь он публикуется с открытым исходным кодом, чтобы другие организации могли его внедрять и вносить свой вклад.

Возможности

Отвечает на любой HTTP-метод (GET, POST, PUT, DELETE и т.д.)
Настраиваемый секретный токен (см. base.example.yaml)
Ответы, специфичные для содержимого
- С секретным токеном в теле ответа
  - JSON
  - XML
  - HTML
  - CSV
  - TXT
  - PNG
  - JPEG
- Без токена в теле ответа
  - GIF
  - MP3
  - MP4

Использование

go get github.com/teknogeek/ssrf-sheriff
cd $GOPATH/src/github.com/teknogeek/ssrf-sheriff
cp config/base.example.yaml config/base.yaml

# ... configure ...

go run main.go

Примеры запросов:

Простой текст

$ curl -sSD- http://127.0.0.1:8000/foobar
HTTP/1.1 200 OK
Content-Type: text/plain
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:36 GMT
Content-Length: 21

SUP3R_S3cret_1337_K3y

XML

$ curl -sSD- http://127.0.0.1:8000/foobar.xml
HTTP/1.1 200 OK
Content-Type: application/xml
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:41 GMT
Content-Length: 81

<SerializableResponse><token>SUP3R_S3cret_1337_K3y</token></SerializableResponse>

Планы

Динамически генерировать корректные ответы с видимым секретным токеном для
- GIF
- MP3
- MP4
Секреты в HTTP-ответе генерируются/создаются/подписываются для каждого запроса, вместо возврата одного секрета для всех запросов
Поддержка TLS

Благодарности

Вдохновлено (и запрошено) Франсом Розеном во время его выступления на BountyCon '19 Singapore

Выпущено под лицензией MIT.

ssrf-sheriff