Di dunia keamanan aplikasi web, ada banyak jenis serangan yang bisa dilakukan attacker. Beberapa mungkin sudah sering kamu dengar, seperti SQL Injection atau Cross-Site Scripting. Tapi ada juga serangan lain yang tidak kalah berbahaya, yaitu Server-Side Request Forgery (SSRF).

Server-Side Request Forgery (SSRF) disebut sebagai ancaman tersembunyi karena serangan ini tidak terlihat dari luar, tetapi bisa membuka jalan bagi attacker untuk menguasai data internal yang seharusnya aman.
 

Pemula yang Minat Pentest Harus Tau Server-Side Request Forgery (SSRF)

Server-Side Request Forgery (SSRF) adalah kerentanan di mana attacker bisa memaksa server melakukan request ke alamat yang mereka tentukan.

Hal ini bisa berdampaknya pada server bisa membuka akses ke data internal yang seharusnya tertutup.

Singkatnya, server yang seharusnya jadi “penjaga” justru diperalat attacker untuk mengirimkan request ke resource internal. Dari sini, attacker bisa mengakses data rahasia, metadata cloud, hingga melakukan serangan lanjutan.

Server-Side Request Forgery (SSRF) Punya Dampak Serius

Alasan mengapa SSRF dianggap berbahaya dapat berikan dampak pada kerentanan apabila tidak segera diperbaiki:

• Akses tidak sah ke database atau file internal.
• Kebocoran API keys, kredensial, dan data rahasia.
• Eksfiltrasi metadata cloud seperti AWS/GCP/Azure. 
• Pivoting ke jaringan internal dan melancarkan serangan lanjutan.
• Berujung pada data breach atau bahkan Remote Code Execution (RCE).
   

Mengapa Server-Side Request Forgery (SSRF) Sulit Dideteksi?

SSRF berbahaya karena request yang dilakukan tampak seperti berasal dari server itu sendiri, bukan dari attacker. Kondisi ini membuat log sistem yang terlihat normal dan tidak menunjukkan aktivitas mencurigakan. Padahal, di balik layar, server sudah diperalat attacker untuk melakukan serangan siber.
 

Inilah Alasan Kenapa Server-Side Request Forgery (SSRF) Berbahaya

1. Server bisa disalahgunakan untuk mengakses resource internal yang seharusnya aman.
2. Attacker dapat menyamarkan dirinya lewat server (trust exploitation).
3. Sulit dideteksi, karena semua request terlihat sah berasal dari server.

➡️Yuk, Daftar Sekarang di Live Class Web Penetration Testing Batch 7