WEB33 / LATIHAN MEMAHAMI RANCANGAN
SSRF dan pembatasan tujuan
Masih dalam pengembangan. Belajar pelan-pelan. Gunakan komputer sendiri dan data contoh.
Isi pelajaran ini
Kita belajar apa?
SSRF terjadi ketika server disuruh mengambil alamat yang seharusnya tidak boleh dijangkau. Kita hanya menggambar fitur pengambil URL. Jangan mencoba alamat layanan internal atau metadata sungguhan.
Bayangkan seperti ini
Seperti menyuruh kurir kantor masuk ke ruangan terlarang dengan alasan mengambil paket.
Arti kata yang mungkin baru
- server
- program yang menerima permintaan lalu memberi jawaban
Penjelasan tambahan jika kamu ingin tahu lebih jauh
SSRF terjadi ketika server mengambil URL yang dipengaruhi pengguna dan dapat menjangkau tujuan yang seharusnya tidak boleh. Lab tidak menyediakan fetch URL arbitrer. Latihan ini threat modeling terhadap fitur impor URL agar tidak menyentuh layanan jaringan nyata.
Persiapan
Siapkan catatan dan baca panduan perangkat. Pakai data buatan, bukan data pribadi. Baca satu langkah, kerjakan, lalu periksa hasilnya sebelum melanjutkan.
Pelajaran ini tidak meminta kamu menjalankan server lab. Siapkan aplikasi atau file yang disebut pada langkah latihan di bawah.
Langkah latihan
- Gambar pengguna, server, dan alamat tujuan.
- Tentukan satu tujuan contoh yang boleh diambil.
- Tulis aturan jenis alamat dan batas waktu/ukuran jawaban.
- Tambahkan pemeriksaan lagi jika tujuan mengalihkan ke alamat lain.
- Tuliskan bahwa tujuan internal pada fitur publik harus dibatasi.
Hasil yang diharapkan
Kamu memahami mengapa server tidak boleh mengambil sembarang URL dari pengguna.
Bandingkan dengan hasilmu sendiri. Jika berbeda, tulis apa yang terlihat lalu baca bagian bantuan di bawah. Jangan mengaku berhasil jika langkahnya belum kamu coba.
Jika terhambat
Berhenti sebentar dan baca pesan yang muncul. Periksa nama file, folder, alamat, dan apakah program latihan masih berjalan. Ulangi satu langkah saja. Jika tetap bingung, minta bantuan guru atau pendamping; jangan mematikan keamanan perangkat.
Petunjuk khusus untuk pelajaran ini
Daftar string terlarang mudah tidak lengkap. Jangan menguji alamat metadata atau layanan internal nyata.
Apa yang perlu kamu catat?
Tulis langkah yang kamu lakukan dan hasil yang benar-benar terlihat. Tambahkan satu kalimat: “Saya belajar bahwa …”. Untuk latihan menggambar, simpan gambar dan jawabanmu.
Cek pemahamanmu
Mengapa tujuan redirect perlu dicek ulang pada fitur pengambil URL?
Buka pembahasan
Tujuan awal yang diizinkan dapat mengarah ke tujuan yang tidak diizinkan. Pembatasan berlaku pada seluruh alur pengambilan.
Tantangan mandiri
Mengapa validasi host sebelum DNS saja belum selalu cukup?
Pedoman penilaian tantangan
Jawaban harus sesuai hasil aktual, menyebut batas kesimpulan, dan tidak keluar scope. Gunakan langkah serta hasil harapan pelajaran sebagai pembanding; nilai 0 bila belum ada, 1 bila sebagian, 2 bila jelas dan dapat ditinjau.
Perbaikan & retest
Batasi kemampuan fetch dan egress, pakai allowlist tujuan serta timeout/ukuran.