微軟開源 Dusseldorf：私有 OAST 捕捉盲點，部署代價亦唔細
DNS、HTTP 同 HTTPS callback 留喺自家環境，適合有基建能力嘅資安團隊
個漏洞冇回應，唔代表冇中招
iThome 報道，微軟公開咗 Dusseldorf，一套採用 MIT 授權、主打私有部署嘅 OAST 平台。佢針對嘅係 SSRF、XXE、SSTI 同盲 XSS 呢類幾麻煩嘅漏洞：你送入去嘅測試內容可能只換來 500 error，甚至完全冇畫面變化，但目標 server 背後其實已經做咗 DNS lookup、拉取外部網址，或者觸發瀏覽器連線。一般掃描器淨係望住 HTTP response，好容易錯過呢段動作。
Callback 點樣幫你捉到條尾巴
測試人員可以將指定子網域塞入 URL、XML entity、template 表達式或者其他輸入位。如果目標系統之後向嗰個網域查 DNS，或者經 HTTP／HTTPS 連返 Dusseldorf，平台就會記低請求同回應，授權用戶可喺網頁介面或 REST API 查看。DNS callback 通常只證明 server 曾經做名稱解析；如果收到完整 HTTP 請求，就可以再確認目標曾經連去指定端點。 所以 OAST 幫你補盲點，但唔等於見到一次 lookup 就可以直接宣布成功攻破。
自訂回應先係 Dusseldorf 較有意思嗰部分
Dusseldorf 可以按 zone 設定過濾規則同回應，測試流程唔使停喺「有冇 callback」呢條問題。例如某啲驗證要 DNS 指去指定 IP，或者外部端點回覆特定內容、狀態碼，研究人員就可以砌出多一步嘅驗證流程。前端有 OpenID Connect 保護，API 亦用 access token，平台工程團隊可以再接入自家身份系統同自動化工具。不過佢只負責接收同整理證據，唔會分析晒漏洞成因，仲唔會幫你自動修補程式碼。
私有部署解決資料控制，亦帶來維運責任
公開 OAST 服務用落方便，但 callback 可能夾帶內部 hostname、查詢內容、HTTP header，甚至應用程式產生嘅資料。香港金融科技公司、軟件團隊同資安顧問如果受客戶條款或內部資料政策約束，將 listener、記錄同身份控制留喺自家環境，審計時會較易交代。呢個好處係按官方架構作出嘅實務判斷；實際合規結果仍然要睇保存期、存取權、雲端區域同公司政策，裝成 private instance 本身唔會自動達標。
Docker 只係其中一截，網絡設定先最易卡住
微軟文件列明，Dusseldorf 要有公開 IPv4，同時要將網域 NS 記錄指向 listener；DNS 53/UDP、HTTP 80/TCP 同 HTTPS 443/TCP亦要正確開放。Azure 路線會用到 Azure CLI、AKS、Cosmos DB MongoDB API、Key Vault、Helm 同公開 IP，明顯係平台工程項目。雖然文件亦提到用 Docker Compose 喺本機部署，但嗰頁已提醒內容冇積極維護，未反映 repo 而家嘅結構。想拎嚟做正式共用服務，證書、監察、備份、升級同濫用防護都要自己接手。
同 Interactsh、Burp Collaborator 點揀
Interactsh 同樣係 MIT 開源兼支援自建，現成 client、Docker、Burp／ZAP 整合同 Nuclei 工作流都較成熟，協定亦涵蓋 DNS、HTTP(S)、SMTP(S) 同 LDAP，自建模式仲有其他 listener。Burp Collaborator 就貼近 Burp Professional 同 DAST，用開 Burp 做手動或自動掃描會順手好多，亦提供私有 server。Dusseldorf 暫時較吸引嘅位係 Azure 原生架構、受保護嘅 UI／REST API，同方便團隊改 listener 或回應邏輯；只求快速收到 callback，現有工具通常直接啲。
而家較適合試驗，未到盲目信任嘅階段
Dusseldorf 嘅 GitHub repo 暫時未有正式 release，文件之間亦見到本機部署指引過時嘅提示。團隊可以先喺隔離測試環境驗證 DNS delegation、TLS、身份權限、資料保存同 callback 關聯方式，再決定值唔值得放入 CI 或滲透測試流程。對已有 Azure 同 AppSec 工程能力嘅公司，佢有改造成內部服務嘅空間；其餘團隊現階段採用 Interactsh 或既有 Burp 流程，維運成本會較容易預計。
參考來源
- iThome — 微軟發布開源Dusseldorf資安測試平臺，協助偵測SSRF等頻外漏洞 — original report
- Microsoft Dusseldorf GitHub — 官方 README，核實私有部署定位、DNS／HTTP／HTTPS、公開 IPv4、NS 設定同 MIT 授權。
- Dusseldorf 安裝文件 — 官方部署入口，列出 Docker、Azure CLI、OpenSSL、Python、jq 同 Helm 等前置工具。
- Dusseldorf 使用文件 — 核實 UI、REST API、OpenID Connect、listener port 同 zone 回應能力。
- Dusseldorf Releases — 核實專案暫時未有正式 release。
- ProjectDiscovery Interactsh — 官方專案頁，核實自建能力、支援協定、整合選項同 MIT 授權。
- PortSwigger：部署私有 Burp Collaborator server — 官方文件，核實 Burp 私有部署場景、網域、DNS、port 同產品整合方式。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
