لماذا يُعد الدفاع ضد هجمات SSRF وتثبيت المقابس ضروريًا لمحللات الوسائط
كيف يحبط التحقق المسبق من DNS وتثبيت عنوان IP هجمات إعادة الربط (DNS Rebinding) ضد الخوادم السحابية.
أمن الشبكة•7 دقائق قراءة•2026-10-28
1. تشريح هجمات إعادة ربط DNS (TOCTOU) على خوادم جلب الوسائط
أي تطبيق ويب يقبل روابط خارجية من المستخدم لجلب بيانات الوسائط يعد هدفًا رئيسيًا لهجمات تزوير الطلبات (SSRF). الأنظمة التقليدية تتحقق من النطاق مرة واحدة ثم تمرر الرابط إلى عميل HTTP.
في هجمات إعادة ربط DNS (TOCTOU)، يقوم المهاجم بإعداد خادم DNS بمدة صلاحية 0 ثانية ليعيد عنوان IP عامًا آمنًا أثناء الفحص الأول، ثم يعيد عنوان 169.254.169.254 أو 127.0.0.1 عند الاتصال الفعلي. يقضي StreamCatch على هذه الثغرة تمامًا عبر تثبيت عنوان IP الموثق مباشرة في مقبس TCP الخاص بـ Undici.
أهم الخلاصات الهندسية
- تصفية صارمة لشبكات RFC 1918 و CGNAT وعناوين الاسترجاع المحلي و IPv6 قبل فتح أي اتصال.
- فحص يدوي لإعادة التوجيه HTTP 3xx حيث يخضع كل انتقال لتحقق DNS كامل ومطابقة القائمة البيضاء.