Chương 11: Server-Side Request Forgery — SSRF

// CHUẨN AN TOÀN: Kiểm tra địa chỉ IP đã Resolve trước khi tạo kết nối
public byte[] safeFetchUrl(String urlString) throws Exception {
    URI uri = URI.create(urlString);
    if (!"https".equalsIgnoreCase(uri.getScheme())) {
        throw new SecurityException("Chỉ chấp nhận giao thức HTTPS");
    }
    InetAddress addr = InetAddress.getByName(uri.getHost());
    if (addr.isLoopbackAddress() || addr.isSiteLocalAddress() || addr.isLinkLocalAddress()) {
        throw new SecurityException("Cấm truy cập vào địa chỉ mạng nội bộ!");
    }
    HttpClient client = HttpClient.newBuilder().connectTimeout(Duration.ofSeconds(3)).build();
    HttpRequest req = HttpRequest.newBuilder().uri(uri).GET().build();
    return client.send(req, HttpResponse.BodyHandlers.ofByteArray()).body();
}

// CHUẨN AN TOÀN: Bắt buộc chỉ cho phép HTTP/HTTPS
URI uri = URI.create(inputUrl);
if (!Set.of("http", "https").contains(uri.getScheme().toLowerCase())) {
    throw new IllegalArgumentException("Giao thức không được phép: " + uri.getScheme());
}

// CHUẨN AN TOÀN: So khớp Hostname với danh sách trắng cố định
private static final Set ALLOWED_DOMAINS = Set.of("api.trusted-partner.com", "cdn.mycompany.com");

public boolean isAllowedHost(URI uri) {
    String host = uri.getHost();
    return host != null && ALLOWED_DOMAINS.contains(host.toLowerCase());
}

// CHUẨN AN TOÀN: Kiểm tra dải IP Private trong Java
public static boolean isPrivateIp(InetAddress address) {
    return address.isAnyLocalAddress() || 
           address.isLoopbackAddress() || 
           address.isSiteLocalAddress() || 
           address.isLinkLocalAddress();
}

// CHUẨN AN TOÀN: Chặn dải Link-Local 169.254.0.0/16 & kích hoạt AWS IMDSv2
// Trong mã nguồn:
if (address.getHostAddress().startsWith("169.254.")) {
    throw new SecurityException("Chặn truy cập dịch vụ Metadata Đám mây!");
}
// Cấu hình AWS EC2: Bắt buộc HttpTokens=required (IMDSv2)

// CHUẨN AN TOÀN: Kết nối trực tiếp vào IP đã được kiểm duyệt an toàn
InetAddress safeIp = resolveAndValidate(uri.getHost());
// Kết nối trực tiếp bằng Socket tới safeIp, truyền Header Host: uri.getHost()