Node.js中的SSRF（服务器端请求伪造）漏洞是指攻击者利用应用服务器作为代理，向内部或外部系统发起恶意请求，其原理是通过用户可控的输入（如URL参数）未经验证直接发起网络请求，可能导致访问敏感内网资源、端口扫描或数据泄露，风险包括内部系统暴露、数据篡改、权限绕过，甚至成为进一步攻击的跳板，防范措施包括：严格校验用户输入的URL和协议（如限制为HTTP/HTTPS）；使用白名单机制控制可访问域名；禁用危险协议（如file://、gopher://）；配置网络层防火墙限制出站请求；使用dns.lookup替代dns.resolve避免DNS重绑定攻击；对响应内容进行过滤，开发时应遵循最小权限原则，并定期更新依赖库以修复已知漏洞。

什么是SSRF漏洞？

SSRF（Server-Side Request Forgery）是一种安全漏洞，攻击者能够操纵服务器向内部或外部系统发起未经授权的请求，这种攻击通常发生在应用程序允许用户输入URL或IP地址，并直接用于发起HTTP请求时，由于服务器通常具有更高的权限（如访问内网资源），SSRF可能导致敏感数据泄露、内部服务探测甚至远程代码执行（RCE）。

在Node.js中,SSRF漏洞通常出现在以下场景：

• 使用http或https模块发起请求时未对用户输入进行严格校验。
• 使用第三方库（如request、axios、node-fetch）时未限制目标URL范围。
• 允许用户控制请求的协议、主机或路径。

---

Node.js中SSRF漏洞的常见成因

1 未经验证的用户输入

许多Node.js应用允许用户提交URL（例如爬虫、API代理服务），如果未对用户提供的URL进行过滤,攻击者可以构造恶意请求访问内部服务。

const http = require('http');
const userURL = req.query.url; // 用户可控的输入
http.get(userURL, (response) => {
  // 处理响应
});

攻击者可以提交http://localhost/admin或file:///etc/passwd等恶意URL,导致服务器访问敏感资源。

2 使用不安全的HTTP请求库

某些HTTP请求库默认不限制重定向或协议，

const axios = require('axios');
axios.get(req.query.url).then(response => {
  console.log(response.data);
});

如果攻击者提交http://attacker.com并设置302重定向至http://169.254.169.254/latest/meta-data/（AWS元数据服务）,可能导致云服务器敏感信息泄露。

3 解析URL时的逻辑缺陷

Node.js的url.parse方法在旧版本中存在安全问题,可能被滥用：

const url = require('url');
const maliciousURL = "http://@internal-service:80@attacker.com";
const parsed = url.parse(maliciousURL);
// parsed.hostname 可能被解析为 internal-service

攻击者可以利用符号绕过黑名单检查。

---

SSRF漏洞的危害

SSRF漏洞可能导致以下安全风险：

1. 访问内部服务：攻击者可以扫描内网，访问数据库、Redis、Kubernetes等未暴露的服务。
2. 敏感数据泄露：如云服务器的元数据（AWS/Azure/GCP）、配置文件（/etc/passwd）。
3. 绕过防火墙：某些内部API可能仅允许本地访问,SSRF可绕过限制。
4. 远程代码执行（RCE）：如果内部服务存在反序列化漏洞（如FastJSON）,SSRF可能进一步导致RCE。

---

如何防范Node.js中的SSRF漏洞？

1 严格校验用户输入

• 使用白名单机制,仅允许访问特定的域名或IP。
• 禁止访问内网IP（如0.0.1、168.0.0/16、0.0.0/8）。
• 禁用危险协议（如file://、ftp://、gopher://）。

2 使用安全的HTTP库

• 使用axios、node-fetch等现代库，并配置maxRedirects: 0防止重定向攻击。
• 设置baseURL限制请求范围：

  const axios = require('axios');
  const instance = axios.create({
    baseURL: 'https://trusted-api.com',
  });

3 使用DNS解析防护

• 强制解析目标域名，防止DNS重绑定攻击：

  const dns = require('dns');
  dns.lookup('example.com', (err, address) => {
    if (address === '192.168.1.1') {
      return res.status(403).send('Forbidden');
    }
    // 发起请求
  });

4 启用网络层防护

• 使用防火墙限制Node.js应用的出站流量。
• 在Kubernetes/Docker环境中配置网络策略,禁止Pod访问敏感服务。

5 定期更新依赖库

• 确保使用的http、https、url等核心模块是最新版本,避免已知漏洞。

---

实际案例分析

案例1：某电商平台的SSRF漏洞

某电商平台允许用户上传图片URL，后端使用Node.js的request库获取图片，攻击者提交http://169.254.169.254/latest/meta-data/，成功获取AWS EC2的IAM密钥,导致云服务器被入侵。

修复方案：

• 限制URL只能为https协议。
• 使用dns.resolve检查IP是否属于内网。

案例2：CMS系统的SSRF导致RCE

某Node.js CMS系统允许管理员通过URL导入主题，攻击者构造恶意请求访问http://localhost:9000/admin/exec?cmd=rm+-rf+/，由于后端未校验URL,导致服务器被清空。

修复方案：

• 禁止访问localhost和0.0.1。
• 使用沙箱环境执行远程请求。

---

SSRF漏洞在Node.js应用中尤为危险，因为JavaScript的灵活性使得开发者容易忽略安全校验，通过严格输入验证、使用安全HTTP库、限制网络访问等措施，可以有效降低SSRF风险，开发者应时刻保持安全意识，定期审计代码,避免因SSRF导致数据泄露或服务器沦陷。

安全建议：

• 使用ssrf-filter、axios-ssrf等专门防护SSRF的库。
• 定期进行渗透测试,检查SSRF漏洞。
• 遵循OWASP SSRF防护指南（链接）。

只有综合运用技术和管理手段，才能构建更安全的Node.js应用。