SSRF（サーバサイドリクエストフォージェリ）

SSRF とは何か

SSRF（Server-Side Request Forgery）は、攻撃者がサーバを踏み台にして、本来アクセスできない宛先へリクエストを送らせる攻撃です。「Forgery（偽造）」の名のとおり、サーバが意図しないリクエストを代理で発行させられるのが本質です。

きっかけになるのは、ありふれた機能です。「URL を入力すると画像を取り込む」「外部の Webhook を呼ぶ」「指定 URL のプレビューを生成する」など、ユーザーが指定した URL をサーバが取得しに行く機能はすべて候補になります。攻撃者はこの URL 欄に、外部サイトではなく内部のアドレスを入れます。

POST /api/fetch-image
Content-Type: application/json

{"url": "http://169.254.169.254/latest/meta-data/"}

サーバは言われたとおり、そのアドレスへリクエストを送ってしまいます。リクエスト元が「信頼されたサーバ自身」になることが、SSRF を強力にしています。

なぜ内部資源が危険なのか

SSRF の本当の脅威は「外部の任意 URL を叩ける」ことではなく、サーバが内部ネットワークの内側にいる点にあります。

多くのシステムでは、内部 API・管理ダッシュボード・データベース・キャッシュサーバなどが「社内（VPC 内）からのアクセスは信頼する」前提で、外部に公開していません。ファイアウォールが外部からの到達を防いでいるからです。ところが SSRF を使えば、攻撃者はファイアウォールの内側にいるサーバに代理リクエストさせることで、この防壁を回り込めます。

• 内部 API・管理画面：http://localhost:8080/admin のような、外部非公開のエンドポイントへ到達。
• 内部ネットワークの探索：到達可否や応答時間の差から、内部に何が居るかをスキャンされる。
• 別プロトコルの悪用：実装によっては file://（ローカルファイル読み取り）や gopher://（任意バイト送信）が通り、被害が拡大する。

クラウドメタデータという格好の標的

SSRF が特に深刻化したのは、クラウド環境の普及が背景にあります。多くのクラウドでは、インスタンス内から特定のリンクローカルアドレス（169.254.169.254）にアクセスすると、そのインスタンスの設定情報を返すメタデータサービスが動いています。

ここには、インスタンスに割り当てられた一時的な認証情報（アクセスキー）が含まれることがあります。SSRF でこのエンドポイントを叩かせれば、攻撃者はそのサーバの権限を丸ごと乗っ取れる——ストレージの読み書き、他リソースの操作などが可能になり、被害は単一アプリにとどまりません。

# 攻撃者がサーバに叩かせたい標的の例（クラウドメタデータ）
GET http://169.254.169.254/latest/meta-data/iam/security-credentials/

対策：宛先を許可リストで縛る

SSRF 対策の難しさは、入口の機能（URL を取得する）自体は正当なことにあります。だから「使わせない」のではなく、「どこへ行かせてよいか」を厳しく制限するのが基本方針です。

対策	内容	補足
許可リスト（allowlist）	接続を許す宛先だけを明示列挙	拒否リストより堅い。原則これを採用
内部アドレスの遮断	プライベートIP・ループバック・リンクローカルを拒否	169.254.169.254 や 127.0.0.1、10.x 等
スキーム制限	http/https 以外を禁止	file:// gopher:// 等を封じる
ネットワーク分離	取得処理を内部資源から隔離	メタデータ経路自体を塞ぐ

• 拒否リストより許可リスト：「危険な宛先を弾く」方式は抜け漏れます。http://0177.0.0.1（8進）や DNS による偽装など、内部アドレスの書き方は無数にあるためです。許せる宛先だけを列挙するほうが堅牢です。
• リダイレクトに注意：許可した外部 URL が 302 で内部アドレスへ転送し直す手口があります。リダイレクト先も毎回検証してください。
• 名前解決の落とし穴：ドメインが内部 IP に解決される場合に備え、最終的に接続する IP を検証します。検証時と接続時で解決結果が変わる攻撃（DNS リバインディング）にも注意が要ります。

まとめ

SSRF は、URL を取得する正当な機能を悪用し、信頼されたサーバに任意の宛先へリクエストさせる攻撃です。最大の脅威は、サーバがネットワーク境界の内側にいるために、外部から届かない内部資源やクラウドメタデータへ到達される点にあります。OWASP Top 10（2021）にも独立項目として入る重要リスクです。

対策の核心は「宛先を許可リストで縛り、内部アドレスとファイル系スキームを遮断する」こと。あわせて、新方式のメタデータアクセス、最小権限、そして内部サービスにも認証を求めるゼロトラストの発想を組み合わせます。リスクの全体像はOWASP Top 10で位置づけを確認できます。