# OWASP A10:2021 – Sunucu Tarafı İstek Sahteciliği (SSRF) ve Bulut Metadata Sızıntıları

> **Bulut ve Ağ İçi Tehdit**: SSRF zafiyeti, web uygulamasının sunucu tarafındaki bir kaynağı (örneğin bir görsel veya webhook) getirirken kullanıcı girdisini doğrulamamasıyla ortaya çıkar.

---

## 1. SSRF Saldırı Senaryosu

Saldırgan bir görsel indirme fonksiyonuna kendi IP adresini veya sunucu dâhili ağını (`http://127.0.0.1:8080/admin`) verir.

Bulut ortamlarında (AWS / Azure / GCP) metadata servisi hedeflenir:

```http
GET /fetch?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/admin HTTP/1.1
```

---

## 2. Önleme Yöntemleri

- **URL İzin Listesi (Whitelisting)**: Sadece izin verilen alan adlarına istek yapılması.
- **Dâhili IP Bloklama**: `127.0.0.1`, `10.0.0.0/8`, `192.168.0.0/16` ve `169.254.169.254` adreslerine giden isteklerin ağ seviyesinde engellenmesi.