OWASP A10:2021 – Sunucu Tarafı İstek Sahteciliği (SSRF) ve Bulut Metadata Sızıntıları

# OWASP A10:2021 – Sunucu Tarafı İstek Sahteciliği (SSRF) ve Bulut Metadata Sızıntıları > **Bulut ve Ağ İçi Tehdit**: SSRF zafiyeti, web uygulamasının sunucu tarafındaki bir kaynağı (örneğin bir görsel veya webhook) getirirken kullanıcı girdisini doğrulamamasıyla ortaya çıkar. --- ## 1. SSRF Saldırı Senaryosu Saldırgan bir görsel indirme fonksiyonuna kendi IP adresini veya sunucu dâhili ağını (`http://127.0.0.1:8080/admin`) verir. Bulut ortamlarında (AWS / Azure / GCP) metadata servisi hedeflenir: ```http GET /fetch?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/admin HTTP/1.1 ``` --- ## 2. Önleme Yöntemleri - **URL İzin Listesi (Whitelisting)**: Sadece izin verilen alan adlarına istek yapılması. - **Dâhili IP Bloklama**: `127.0.0.1`, `10.0.0.0/8`, `192.168.0.0/16` ve `169.254.169.254` adreslerine giden isteklerin ağ seviyesinde engellenmesi.