SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场ssrf-server-side-request-forgery

ssrf-server-side-request-forgery

安全与审计

查看项目

更新于 10-16 08:24

技能介绍

本技能是一份服务端请求伪造（SSRF）专家攻击手册，来源于 yaklang/hack-skills。其定位是：当服务端会抓取 URL、解析主机名、导入远程内容，或可被引导访问内网、云元数据等目标时使用。

用途与适用场景 适用于安全测试与漏洞挖掘中识别和利用 SSRF 的场景，包括：参数中包含 DNS 名称、IP 地址或 URL 的接口；PDF/截图生成、Webhook 配置、通过 URL 导入导出（CSV、RSS/Atom）、OAuth 重定向 URI、代理链中的 X-Forwarded-Host / X-Real-IP 头、XML 外部实体、GraphQL @link 指令、解析 <link> 预加载头的页面等较隐蔽的 SSRF 入口。

主要能力

  1. 首轮确认：给出 http://127.0.0.1/、http://localhost/、http://169.254.169.254/latest/meta-data/、http://[::1]/、http://127.1/ 等首轮载荷，以及按校验类型（拦截 localhost 字符串、仅拦截直接 IP、前缀白名单、跟随重定向、解析一次抓取两次）分类的主机校验绕过思路。
  2. 协议路由：针对云凭证使用元数据 HTTP 端点，内网 HTTP 管理使用 http://127.0.0.1:port/，Redis/原始 TCP 滥用使用 gopher://，本地文件读取候选使用 file://，字典/横幅测试使用 dict://。
  3. 基础确认方法：使用 Burp Collaborator / interact.sh 检查服务端是否发起出站连接；无回调时用时间差判断端口开放；尝试访问 localhost 上的 8080、22、6379、9200、5984、2375、4840 等服务。
  4. 云元数据端点：覆盖 AWS EC2 IMDSv1（无需认证）与 IMDSv2（需 token，含 PUT 获取 token 步骤）、Google Cloud、Azure、阿里云、Kubernetes Service Account 等端点及所需请求头。
  5. IP 地址过滤绕过：给出 127.0.0.1 的多种变体（127.1、127.0.1、八进制、十六进制、十进制、IPv6 回环、IPv4 映射 IPv6）、169.254.169.254 的变体（十进制、十六进制、八进制、IPv6、nip.io）、私有网段，以及通过 DNS 输入绕过（A 记录指向内网、DNS 重绑定）。
  6. URL scheme 攻击：file:// 读取 /etc/passwd、/proc/self/environ、/proc/net/arp、/proc/net/tcp；dict:// 与 gopher:// 操作 Redis、Elasticsearch；sftp://、ldap://、ftp:// 触发网络交互；并给出 Redis Gopher SSRF 的完整载荷示例。
  7. 盲 SSRF 检测：通过 Collaborator/interact.sh 检查 DNS 与 HTTP 请求、利用应用自身 Webhook、时间分析、错误信息差异推断内网拓扑。
  8. 内网服务利用：Docker API（2375 未认证，列出容器/镜像、创建特权容器逃逸）、Elasticsearch（9200 默认无认证）、Redis（6379 常见无认证，写文件/写 crontab）、内网管理面板（8080/8443/admin、9000/actuator 等）。
  9. 决策树与思路：给出 SSRF 参数发现后的过滤绕过决策树，以及“SSRF 过滤器思维”，指出开发者常见疏漏（只过滤 169.254.169.254 而不含完整路径、忽略 IPv6、解析到内网的 DNS 名、重定向链等），并给出通过 XML 实现应用层 SSRF 的示例。

使用方式 该技能以文档形式提供，按“快速开始—发现 SSRF 面—基础确认—云元数据—IP 过滤绕过—URL scheme 攻击—盲 SSRF 检测—内网服务利用—决策树—过滤器思维”的顺序组织。文档还提示可加载配套的 SCENARIOS.md（WebLogic SSRF CVE-2014-4210、SSRF→Redis→RCE 完整链、DNS 重绑定深入、Kubernetes SSRF CVE-2020-8555 与 CVE-2020-8562、PDF/截图生成器 SSRF、Gopher 全 TCP 注入）和 URL_PARSER_TRICKS.md（URL 解析器差异表、完整云元数据端点目录、gopher 载荷配方、DNS 重绑定流程、PDF/wkhtmltopdf/WeasyPrint/Chrome headless/PhantomJS 的 SSRF 模式与数据外带技术）。

限制 本资料为攻击技术手册，未提供收费、价格、平台支持范围或效果保证等信息；配套文件 SCENARIOS.md 与 URL_PARSER_TRICKS.md 的具体内容在本文中未展开，暂未提供。使用时应仅在合法授权范围内进行安全测试。