はじめに

Web セキュリティにおいて SSRF（Server-Side Request Forgery）は、
「ある／ない」では語れない脆弱性です。

同じ SSRF でも、

ほぼ影響のないもの
内部ネットワークを完全に突破できるもの

では 危険度が桁違い です。

本記事では、SSRF を 実務で判断できる 5 つのレベル に分解し、

各レベルの具体例
攻撃視点での意味
防御（Blue Team）視点での必須対策

を 1 本のモデルとして整理します。

結論：SSRF は「段階的に能力が解放される」

Level 0 → Level 1 → Level 2 → Level 3 → Level 4

SSRF はスイッチではなく、能力ツリーです。
上位レベルに行くほど、被害は指数関数的に拡大します。

SSRF 5 レベル全体像（Mermaid 攻撃パス）

Level 0：パラメータ可制御（疑似 SSRF）

定義

URL パラメータは操作できるが、
サーバが実際にリクエストしている証拠がない。

例

/preview.php?url=https://example.com

表示は変わる
しかし以下は不明：
- サーバ通信か？
- フロントエンド fetch か？
- キャッシュか？

評価

重大度：Info / Low
SSRF 未確定

Level 1：外部 SSRF（確認済み）

定義

攻撃者が管理するドメインに、サーバからの通信を確認できる。

例

/preview.php?url=http://xxx.burpcollaborator.net

ログで以下を確認：

DNS lookup
HTTP GET
Source IP / User-Agent

できること

SSRF の存在証明
Blind SSRF
ネットワーク出口の把握

評価

重大度：Medium
攻撃チェーンの起点

Level 2：内部 SSRF（境界突破）

定義

サーバが 内部アドレス / localhost にアクセス可能。

例

/preview.php?url=http://127.0.0.1:8080
/preview.php?url=http://169.254.169.254/latest/meta-data/

リスク

内部管理画面
クラウドメタデータ（IAM 認証情報）
内部 API

評価

重大度：High
防御境界の崩壊

Level 3：プロトコル SSRF（非 HTTP）

定義

gopher:// などを利用し、
内部 TCP サービスに任意バイト列を送信可能。

例

/preview.php?url=gopher://127.0.0.1:6379/_PING%0D%0A

特徴

HTTP の枠を超える
Redis / FastCGI / SMTP 等に直接命令
SSRF が「通信代理」になる

評価

重大度：Critical
Red Team レベル

Level 4：状態変更・実行（SSRF → RCE）

定義

SSRF により 不可逆な状態変更 が可能。

典型チェーン

SSRF → Redis → cron 書き込み → RCE
SSRF → Cloud Metadata → IAM Token → クラウド制御
SSRF → 内部管理 API → 管理者作成

評価

重大度：Critical+
完全侵害

実例：gopher 転送スクリプトはどこに位置するか？

以前示した以下のようなスクリプトは：

ローカルで HTTP を受信
リクエストを gopher payload に変換
SSRF を通じて内部 TCP サービスへ送信

👉 Level 3（プロトコル SSRF）を「対話可能な通路」に昇格させるツール

前提条件：

Level 1（外部 SSRF 確認済み）
Level 2（内部到達可能）
gopher:// 許可

Level 4 に到達するかは
内部サービス側の設計次第。

Blue Team 視点：各レベルの必須対策（要点）

レベル	必須対策
L0	URL 機能の設計制限（白リスト前提）
L1	scheme 白リスト（http/https のみ）＋リダイレクト制御
L2	出口通信制御 + 私有 IP / localhost の完全遮断
L3	gopher/file 等のプロトコル完全無効化
L4	Fetch サービスの完全分離（無権限・無内部アクセス）

重要な判断基準（覚えておくべき）

「SSRF があるか」ではなく
「最大でどのレベルまで到達できるか」を問う

同じ SSRF でも、

Level 1 と Level 4 では
被害規模が 100 倍以上違う

まとめ

SSRF は段階的に危険度が上がる
真に危険なのは Level 2 以降
gopher:// が許されている時点で 設計ミス
防御は「入力検証」ではなく ネットワークと権限設計