SSRF — Server-side request forgery

/// <summary>/// Ba việc phải cùng đúng, và thứ tự của chúng là phần dễ làm sai nhất:/// kiểm host → resolve MỘT lần → kết nối tới chính IP vừa kiểm.////// Nếu bước cuối kết nối lại bằng hostname thì cả hàm này vô nghĩa: giữa lúc kiểm/// và lúc kết nối, DNS của kẻ tấn công trả về một IP khác (DNS rebinding)./// </summary>public sealed class SafeFetcher{    private static readonly HashSet<string> AllowedHosts =        new(StringComparer.OrdinalIgnoreCase) { "images.partner.example", "cdn.partner.example" };     private readonly HttpClient _http;     public SafeFetcher(HttpClient http) => _http = http;     public async Task<string> FetchAsync(string rawUrl, CancellationToken ct)    {        if (!Uri.TryCreate(rawUrl, UriKind.Absolute, out var uri))            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Not a URL");         // file:, gopher:, dict: không có lý do tồn tại ở một endpoint lấy preview.        if (uri.Scheme != Uri.UriSchemeHttps && uri.Scheme != Uri.UriSchemeHttp)            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Only http(s)");         if (!AllowedHosts.Contains(uri.Host))            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Host not allowed");         // Resolve MỘT lần. Đây là lần resolve duy nhất trong toàn bộ luồng.        var addresses = await Dns.GetHostAddressesAsync(uri.Host, ct);        if (addresses.Length == 0)            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Does not resolve");        foreach (var ip in addresses)            if (IsInternal(ip))                throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Resolves internally");         // Kết nối tới chính IP vừa kiểm; Host header giữ tên miền để TLS/SNI và vhost còn đúng.        var pinned = new UriBuilder(uri) { Host = addresses[0].ToString() }.Uri;        using var request = new HttpRequestMessage(HttpMethod.Get, pinned);        request.Headers.Host = uri.Host;         using var response = await _http.SendAsync(request, ct);        response.EnsureSuccessStatusCode();        return await response.Content.ReadAsStringAsync(ct);    }     private static bool IsInternal(IPAddress ip)    {        if (ip.IsIPv4MappedToIPv6) ip = ip.MapToIPv4();        if (IPAddress.IsLoopback(ip)) return true;         var b = ip.GetAddressBytes();        if (ip.AddressFamily == AddressFamily.InterNetwork)            return b[0] == 10                                  // 10/8                || (b[0] == 172 && b[1] >= 16 && b[1] < 32)     // 172.16/12                || (b[0] == 192 && b[1] == 168)                 // 192.168/16                || (b[0] == 169 && b[1] == 254)                 // link-local + metadata                || b[0] == 0 || b[0] == 127;         return ip.IsIPv6LinkLocal || ip.IsIPv6SiteLocal            || (b[0] & 0xfe) == 0xfc;                           // fc00::/7 unique-local    }} // Đăng ký: AllowAutoRedirect = false là phần KHÔNG ĐƯỢC bỏ. Không có nó, một host// trong allowlist chỉ cần trả 302 là mọi kiểm ở trên bị vòng qua.services.AddHttpClient<SafeFetcher>()    .ConfigurePrimaryHttpMessageHandler(() => new SocketsHttpHandler    {        AllowAutoRedirect = false,        ConnectTimeout = TimeSpan.FromSeconds(3),    });

import ipaddressimport socketfrom urllib.parse import urlsplit, urlunsplit import requests ALLOWED_HOSTS = {"images.partner.example", "cdn.partner.example"}  class UnsafeUrl(Exception):    pass  def fetch(raw_url: str, timeout: float = 3.0) -> str:    parts = urlsplit(raw_url)     if parts.scheme not in ("http", "https"):        raise UnsafeUrl("only http(s)")    if parts.hostname not in ALLOWED_HOSTS:        raise UnsafeUrl("host not allowed")     # Resolve MỘT lần, kiểm mọi bản ghi trả về — không chỉ bản ghi đầu.    infos = socket.getaddrinfo(parts.hostname, parts.port or 443, proto=socket.IPPROTO_TCP)    addrs = [ipaddress.ip_address(i[4][0]) for i in infos]    if not addrs:        raise UnsafeUrl("does not resolve")    for ip in addrs:        if ip.is_private or ip.is_loopback or ip.is_link_local or ip.is_reserved:            raise UnsafeUrl(f"resolves internally: {ip}")     # Kết nối tới chính IP vừa kiểm; Host header giữ tên miền.    pinned = urlunsplit(parts._replace(netloc=str(addrs[0])))     resp = requests.get(        pinned,        headers={"Host": parts.hostname},        allow_redirects=False,   # KHÔNG bỏ dòng này        timeout=timeout,    )    resp.raise_for_status()    return resp.text

apiVersion: networking.k8s.io/v1kind: NetworkPolicymetadata:  name: preview-service-egress  namespace: appspec:  podSelector:    matchLabels: { app: preview-service }  policyTypes: [Egress]  egress:    # DNS phải mở, nếu không service không resolve được gì.    - to:        - namespaceSelector:            matchLabels: { kubernetes.io/metadata.name: kube-system }          podSelector:            matchLabels: { k8s-app: kube-dns }      ports:        - { protocol: UDP, port: 53 }        - { protocol: TCP, port: 53 }     # Internet, TRỪ mọi dải nội bộ. except là phần làm nên giá trị của policy này:    # thiếu nó thì "mở ra Internet" cũng mở luôn đường vào metadata service.    - to:        - ipBlock:            cidr: 0.0.0.0/0            except:              - 169.254.0.0/16   # link-local — metadata service của cloud              - 10.0.0.0/8              - 172.16.0.0/12              - 192.168.0.0/16              - 127.0.0.0/8      ports:        - { protocol: TCP, port: 443 }