CVE-2026-40072 SSRF-лаборатория

Практическая локальная лаборатория для демонстрации CVE-2026-40072 в web3.py, показа воздействия SSRF в Burp Suite и проверки официального исправления.

Обзор

Этот репозиторий содержит безопасное локальное доказательство концепции для CVE-2026-40072 — проблемы подделки запросов на стороне сервера (SSRF), связанной с обработкой CCIP Read / OffchainLookup в web3.py. Лаборатория использует Kali Linux, виртуальное окружение Python, Flask в качестве фиктивного внутреннего сервиса и Burp Suite для перехвата исходящего запроса.

Что вы узнаете

• Как уязвимость работает на высоком уровне.
• Как безопасно воспроизвести запрос в лабораторной среде.
• Как перехватить и изучить запрос с помощью Burp Suite.
• Как проверить официальное исправление, обновив web3.py.

Предварительные требования

• Kali Linux
• Python 3.13+
• Burp Suite Community или Pro
• Доступ в интернет для установки пакетов

Примечание по безопасности

Эта лаборатория предназначена только для авторизованного локального использования в образовательных целях. Запускайте всё в собственном изолированном окружении. Не тестируйте системы, которыми вы не владеете или на проверку которых у вас нет разрешения.

Настройка

1. Создайте виртуальное окружение

python3 -m venv ~/ssrf-lab
source ~/ssrf-lab/bin/activate

2. Установите зависимости

pip install -r requirements.txt

Если Kali блокирует системный pip, продолжайте использовать venv выше.

Запуск лаборатории

Шаг 1: Запустите фиктивный внутренний сервис

source ~/ssrf-lab/bin/activate
python3 lab/fake_internal_server.py

Держите этот терминал открытым. Он имитирует чувствительную внутреннюю конечную точку.

Шаг 2: Откройте Burp Suite

• Запустите Burp Suite.
• Убедитесь, что Proxy listener запущен на 127.0.0.1:8080.
• Включите Intercept, если хотите перехватить запрос.

Шаг 3: Запустите SSRF-демонстрацию

source ~/ssrf-lab/bin/activate
python3 lab/ssrf_demo.py

Запрос должен появиться в Burp, а фиктивный сервис должен вернуть демонстрационную строку учётных данных.

Шаг 4: Проверьте исправленную версию

Обновитесь до исправленного релиза:

pip install "web3==7.15.0"

Затем подтвердите версию:

pip show web3 | grep Version

Запустите проверочный скрипт:

python3 lab/ssrf_fixed_check.py

Вы должны подтвердить исправленное окружение и задокументировать, что SSRF-запрос больше не выполняется.

Ожидаемый результат

• Уязвимая версия: Burp перехватывает исходящий запрос, Flask логирует обращение, а Repeater показывает демонстрационный ключ.
• Исправленная версия: SSRF-запрос не появляется, а исправление документируется скриншотом версии.

Лицензия

MIT