‫روش‌هایی برای جلوگیری از حملات SSRF در دات‌نت

• اعتبارسنجی طرح (scheme): اطمینان از اینکه URL فقط از پروتکل‌های مجاز مانند HTTP یا HTTPS استفاده می‌کند.
• بررسی آدرس‌های IP: شناسایی و مسدود کردن آدرس‌های IP داخلی، از جمله آدرس‌های لوکال‌هاست (localhost)، آدرس‌های خصوصی (private IPs) و آدرس خاص "0.0.0.0".
• اعتبارسنجی نام میزبان: بررسی اینکه نام میزبان به آدرس‌های IP داخلی یا غیرمجاز اشاره نکند.
• اعتبارسنجی مکرر: انجام بررسی‌های امنیتی قبل از هر درخواست، زیرا مهاجمان ممکن است ابتدا یک آدرس معتبر ارائه دهند و سپس آن را به آدرس داخلی تغییر دهند.

public static class SsrfValidator
{
    private static readonly string[] AllowedSchemes = new[] { "http", "https" };

    public static bool IsSafeUri(Uri uri)
    {
        if (uri == null)
            throw new ArgumentNullException(nameof(uri));
        return uri.IsAbsoluteUri &&
               HasValidScheme(uri) &&
               IsValidHostname(uri);
    }

    private static bool HasValidScheme(Uri uri)
    {
        return AllowedSchemes.Any(x => x.Equals(uri.Scheme, StringComparison.OrdinalIgnoreCase));
    }

    private static bool IsValidHostname(Uri uri)
    {
        var hostName = uri.DnsSafeHost;
        if (IPAddress.TryParse(hostName, out IPAddress ipAddress))
        {
            return IsValidIpAddress(ipAddress);
        }

        var resolvedIpAddresses = GetIpAddressFromHostName(hostName);
        return HasValidIpAddress(resolvedIpAddresses);
    }

    private static bool HasValidIpAddress(params IPAddress[] ipAddresses)
    {
        return ipAddresses.Length != 0 && ipAddresses.All(IsValidIpAddress);
    }

    private static bool IsValidIpAddress(IPAddress ipAddress)
    {
        return !ipAddress.IsPrivate();
    }

    private static IPAddress[] GetIpAddressFromHostName(string hostName)
    {
        try
        {
            return Dns.GetHostEntry(hostName).AddressList;
        }
        catch (SocketException)
        {
            return Array.Empty<IPAddress>();
        }
    }
}

public static class IPAddressExtensions
{
    public static bool IsPrivate(this IPAddress ip)
    {
        if (ip.IsIPv4MappedToIPv6)
            ip = ip.MapToIPv4();

        if (IPAddress.IsLoopback(ip))
            return true;

        if (ip.Equals(IPAddress.Any))
            return true;

        if (ip.AddressFamily == AddressFamily.InterNetwork)
            return IsPrivateIPv4(ip.GetAddressBytes());

        if (ip.AddressFamily == AddressFamily.InterNetworkV6)
            return ip.IsIPv6LinkLocal ||
                   ip.IsIPv6UniqueLocal ||
                   ip.IsIPv6SiteLocal;

        throw new NotSupportedException(
                $"IP address family {ip.AddressFamily} is not supported, expected only IPv4 (InterNetwork) or IPv6 (InterNetworkV6).");
    }

    private static bool IsPrivateIPv4(byte[] ipv4Bytes)
    {
        bool IsLinkLocal() => ipv4Bytes[0] == 169 && ipv4Bytes[1] == 254;
        bool IsClassA() => ipv4Bytes[0] == 10;
        bool IsClassB() => ipv4Bytes[0] == 172 && ipv4Bytes[1] >= 16 && ipv4Bytes[1] <= 31;
        bool IsClassC() => ipv4Bytes[0] == 192 && ipv4Bytes[1] == 168;

        return IsLinkLocal() || IsClassA() || IsClassC() || IsClassB();
    }
}