SSRF (Server-Side Request Forgery) Nedir? Sunucular Üzerinden Gerçekleştirilen Saldırılar
Mart 11, 2026
Siber Güvenlik
Web Uygulamalarında Görünmeyen Tehditler
Modern web uygulamaları, farklı servisler ve sistemlerle sürekli iletişim halindedir. Birçok uygulama; harici API’lere bağlanmak, dosya indirmek veya başka sunucularla veri alışverişi yapmak için kullanıcıdan alınan URL veya adresleri kullanabilir.
Ancak bu tür özellikler doğru şekilde kontrol edilmezse ciddi güvenlik açıkları ortaya çıkabilir. Saldırganlar bu mekanizmaları kullanarak sunucunun kendi ağı içerisinde istek göndermesini sağlayabilir.
Bu tür saldırılar Server-Side Request Forgery (SSRF) olarak adlandırılmaktadır. SSRF saldırılarında bir saldırgan, hedef sunucuyu kullanarak başka sistemlere erişmeye çalışır.
SSRF (Server-Side Request Forgery) Nedir?
Server-Side Request Forgery, bir saldırganın hedef sunucuyu manipüle ederek sunucu tarafından istek gönderilmesini sağlaması durumudur.
Normalde bir kullanıcı yalnızca web uygulamasına erişebilir. Ancak SSRF açığı bulunduğunda saldırgan, uygulamayı kullanarak:
- dahili ağ sistemlerine erişebilir
- yönetim panellerine ulaşabilir
- hassas verilere erişmeye çalışabilir
Bu saldırı türünde kritik nokta şudur: istek doğrudan saldırgandan değil, sunucunun kendisinden gönderilir. Bu nedenle güvenlik duvarları ve ağ filtreleri bu trafiği çoğu zaman güvenilir kabul edebilir.
SSRF Saldırısı Nasıl Çalışır?
SSRF saldırıları genellikle web uygulamalarında kullanıcıdan alınan URL veya adres bilgilerinin doğrulanmadan kullanılması sonucunda ortaya çıkar.
Genel saldırı süreci şu şekilde gerçekleşir:
- Kullanıcı girdisi alınır
Web uygulaması, kullanıcıdan bir URL veya kaynak adresi alır. - Sunucu bu adrese istek gönderir
Uygulama verilen URL’ye bağlanarak veri almaya çalışır. - Saldırgan özel adresler kullanır
Saldırgan harici bir adres yerine sunucunun kendi ağındaki adresleri kullanabilir. - Dahili sistemlere erişim sağlanabilir
Bu sayede saldırgan normalde erişemeyeceği sistemlere ulaşabilir.
Basit Bir SSRF Senaryosu
Bir web uygulamasının kullanıcıdan bir görsel URL’si alarak bu görseli indirip göstermesi gerektiğini düşünelim.
Normal kullanım:
https://example.com/image.jpg
Ancak saldırgan şu tür bir adres gönderebilir:
http://localhost/admin
Bu durumda sunucu kendi sistemindeki yönetim paneline istek gönderir. Eğer uygulama gelen cevabı kullanıcıya iletirse saldırgan dahili sistemler hakkında bilgi elde edebilir.
Daha ileri seviyede saldırganlar şu adresleri de kullanabilir:
- 127.0.0.1
- localhost
- 169.254.169.254 (cloud metadata servisleri)
- dahili IP adresleri
Bu yöntem özellikle bulut ortamlarında ciddi güvenlik riskleri oluşturabilir.
SSRF Saldırılarının Hedefleri
SSRF açıkları genellikle aşağıdaki sistemlere erişmek için kullanılabilir.
- Dahili Ağ Servisleri
- Sunucunun bulunduğu ağ içerisindeki servisler normal kullanıcılar tarafından erişilemez. SSRF sayesinde bu sistemlere ulaşılabilir.
- Yönetim Panelleri
- Birçok uygulamanın yönetim arayüzleri yalnızca dahili ağdan erişilebilir. SSRF saldırıları bu panellere ulaşmak için kullanılabilir.
- Cloud Metadata Servisleri
- Bulut ortamlarında çalışan sunucular, özel metadata servisleri üzerinden kimlik bilgileri alabilir. SSRF saldırıları bu bilgilerin elde edilmesine yol açabilir.
- Mikroservis Altyapıları
- Modern sistemlerde kullanılan mikroservis mimarileri de SSRF saldırılarının hedefi olabilir.
SSRF Saldırılarının Riskleri
SSRF açıkları, sistem güvenliği açısından ciddi sonuçlar doğurabilir.
- Hassas verilerin sızdırılması
Dahili servislerden alınan veriler saldırganların eline geçebilir. - Yetkisiz sistem erişimi
Saldırganlar dahili ağ servislerine ulaşabilir. - Cloud kimlik bilgilerinin ele geçirilmesi
Bulut altyapılarında çalışan uygulamalar için ciddi risk oluşturur. - İleri seviye saldırıların başlatılması
SSRF açığı daha büyük saldırı zincirlerinin ilk adımı olabilir.
SSRF Saldırılarından Nasıl Korunulur?
SSRF açıklarını önlemek için web uygulamalarında bazı güvenlik önlemlerinin alınması gerekir.
- Kullanıcı girdisi doğrulaması
Kullanıcıdan alınan URL veya adresler sıkı şekilde kontrol edilmelidir. - Whitelist yaklaşımı kullanmak
Sunucunun yalnızca belirli güvenilir adreslere istek göndermesine izin verilmelidir. - Dahili IP adreslerini engellemek
localhost, 127.0.0.1 ve özel ağ adreslerine erişim sınırlandırılmalıdır. - Ağ seviyesinde filtreleme
Sunucunun dahili ağ servislerine erişimi kontrol altına alınmalıdır. - Metadata servislerini korumak
Bulut ortamlarında metadata erişimi özel güvenlik mekanizmaları ile korunmalıdır.
Sonuç
Server-Side Request Forgery (SSRF), web uygulamalarında sık karşılaşılan ancak çoğu zaman gözden kaçabilen kritik güvenlik açıklarından biridir. Bu saldırı türünde saldırganlar, hedef sunucunun kendisini kullanarak dahili sistemlere erişim sağlamaya çalışır.
Özellikle bulut altyapıları ve mikroservis mimarilerinin yaygınlaşmasıyla birlikte SSRF saldırılarının etkisi daha da artmıştır. Bu nedenle web uygulamalarında kullanıcı girdilerinin dikkatli şekilde doğrulanması ve ağ seviyesinde güvenlik kontrollerinin uygulanması büyük önem taşımaktadır.
Doğru güvenlik önlemleri alındığında SSRF açıklarının büyük bölümü önlenebilir ve sistemlerin güvenliği önemli ölçüde artırılabilir.
Tags :
Server-Side Request Forgery,SSRF,Web Uygulama Güvenliği
Share This :