用途
本技能是一份服务端请求伪造（SSRF）的专家级攻击手册，面向安全测试场景。当目标服务器存在抓取 URL、解析主机名、导入远程内容等行为，或可被引导访问内部网络、云元数据服务时使用。基础模型通常只知道 169.254.169.254，本手册覆盖其容易遗漏的部分。
主要能力
- SSRF 面发现：识别含 DNS 名、IP 地址或 URL 的参数（如 loc、url、path、endpoint、imageUrl、dest、redirect、uri、callback、load、file、resource、link、src、data、ref 等），以及 PDF/截图生成、Webhook 配置、URL 导入导出、OAuth 重定向 URI、X-Forwarded-Host 头、XML 外部实体、GraphQL @link 指令等较隐蔽的向量。
- 基础确认方法：使用 Burp Collaborator / interact.sh 检测出站连接；无回调时用时间差判断端口开放；尝试访问 localhost 上的常见服务端口。
- 云元数据端点：覆盖 AWS EC2 IMDSv1/IMDSv2、Google Cloud、Azure、阿里云、Kubernetes Service Account 等元数据地址与所需请求头。
- IP 地址过滤器绕过：提供 localhost 与 169.254.169.254 的十进制、十六进制、八进制、IPv6 映射等多种变体，以及私有网段和 DNS 输入绕过。
- URL 协议攻击：file://、dict://、gopher://、sftp://、ldap://、ftp:// 等协议的利用方式，含 Redis Gopher SSRF 的完整 payload。
- 盲 SSRF 检测：通过 Collaborator、pingback/webhook、时间分析、错误信息差异进行判断。
- 内部服务利用：Docker API（2375）、Elasticsearch（9200）、Redis（6379）、Spring Boot actuator 等内部服务的访问与利用示例。
- 过滤器绕过决策树：从直接尝试到变体、DNS 重绑定、重定向链的完整排查路径。
使用方式
按手册结构逐步执行：先做快速确认（first-pass payloads），再根据过滤器类型选择绕过家族，随后按协议路由到对应目标。手册还提示可加载配套的 SCENARIOS.md（WebLogic SSRF、DNS 重绑定、K8s SSRF、SSRF→Redis→RCE 等）和 URL_PARSER_TRICKS.md（URL 解析器差异表、云元数据目录、gopher payload 配方等）。
适用场景
适用于授权范围内的安全测试与漏洞验证，包括 Web 应用 SSRF 检测、云环境元数据访问测试、内网服务探测、以及 SSRF 链式利用评估。
限制
本手册为攻击技术参考，仅应在合法授权下使用。具体目标的可利用性取决于实际过滤器实现、网络拓扑与协议支持情况，手册未提供针对特定目标的成功率或效果保证。