Security-sentry SSRF

范围

一般在url上看到到有sentry都可以用Sentry（是一个实时事件日志记录和聚合平台）的exp试试，原理是由于sentry默认开启source code scrapping ，导致可以从外部进行blind ssrf请求。

---

百度dork:

---

exp测试步骤:

python3 sentrySSRF.py -i https://sentry.tpxventures.com/auth/login/technomedia/ -d

brup collaborator收到请求

---

修复方式

1. sentry关闭 source code scrapping；

2. 保证配置文件中的黑名单不为空：/sentry/conf/server.py

---

refs:

• sentry SSRF

• https://hackerone.com/reports/374737

• https://github.com/xawdxawdx/sentrySSRF