exploit-ssrf

name	exploit-ssrf
description	SSRF/服务器请求伪造危害证明。确认服务端可控 URL、Webhook、图片抓取、PDF 渲染、导入回调、代理下载、重定向跟随或 XML/XXE SSRF 后使用。先识别 URL 解析器、重定向/DNS 行为、fetcher 协议能力和回显/OOB/错误/异步通道，再按受控 callback、metadata 根目录、角色名、localhost/banner 分层证明可达；不读取完整云凭证，不扫描内网，不写入内网服务。
enabled	true
category	exploit
priority	9
vuln_types	["SSRF","服务器请求伪造","盲SSRF","云Metadata访问","内网探测"]
triggers	["ssrf confirmed","SSRF已确认","blind ssrf","metadata","内网探测","云凭证","webhook callback","url fetch","169.254.169.254","100.100.100.200"]
synonyms	["ssrf-exploit","ssrf proof","blind ssrf proof","metadata proof","SSRF危害证明"]
metadata	{"tags":"exploit,ssrf,metadata,cloud,gopher,file,内网,危害证明,盲SSRF,OOB,云metadata,安全边界","category":"exploit","type":"exploitation","target_vuln_types":"SSRF,服务器请求伪造,盲SSRF,云Metadata访问"}

SSRF 危害证明方法论

目标：证明服务端可被攻击者控制去访问受限网络资源，包括云 Metadata、内网服务、回环地址或受控回调地址。

---

实战证明总纲：先建模，再选通道

不要把 SSRF 简化成只测 127.0.0.1 或云 metadata。真实链路里经常存在 URL 校验器、重定向跟随器、DNS 解析器、代理层、协议白名单和异步 worker 的差异；证明目标是“服务端可达受限资源”，不是读取凭证或扫描内网。

执行顺序固定为：

1. 识别入口形态：Webhook、图片/头像抓取、PDF/截图渲染、导入 URL、代理下载、回调配置、XML/XXE、对象存储转存、异步任务。
2. 识别解析链路：前端 URL 校验、后端 URL parser、DNS 解析时机、重定向策略、代理环境、协议支持、IPv4/IPv6/IDN 规范化。
3. 识别可见性：直接回显、错误回显、状态码/时间差、任务状态、日志、受控 DNS/HTTP callback。
4. 选择证明通道：自有 callback、无敏 metadata 根目录、localhost banner、重定向解析差异、DNS rebinding 判定、协议能力差异。
5. 最小证明即停：只证明源 IP、User-Agent、可达路径或角色名；不读取完整云 token，不枚举端口，不向内网写入。

场景	常规 payload 为什么失败	推荐证明通道	最小安全证据
盲 SSRF	当前响应不可见	DNS/HTTP callback、任务日志	唯一 token + 源 IP/UA/时间戳
回显 SSRF	只允许 HTTP/HTTPS	metadata 根目录、localhost banner	根目录/服务 banner 片段
URL 黑名单	解析器与校验器不一致	重定向、编码、IPv6/十进制、DNS 差异	同一 URL 链路可达受限目标
异步抓取	响应只返回任务 ID	任务状态、错误原因、callback	任务日志或 callback 可复现
云环境	metadata 被限制或需 Header	根目录/角色名/错误语义	只证明可达或限制存在

0. 证据等级与证明路径

等级	证据	说明
不充分	只有 URL 参数、只有请求失败差异、只有 WAF 拦截、无法证明服务端发起请求	不能判定 SSRF
基础可提交	受控 DNS/HTTP 回调收到目标服务器请求，或回显内网/metadata 安全探针内容	已证明 SSRF
高质量	能证明可达云 metadata 目录、内网服务 banner、本机服务，但不读取敏感凭证	危害边界清晰

按类型选择证明路径：

• 回显 SSRF：响应体直接显示目标内容，优先读取无敏感探针，如 metadata 根目录、服务 banner。
• 盲 SSRF：必须使用受控 DNS/HTTP callback 证明服务端出网，记录源 IP、User-Agent、时间戳。
• 半回显 SSRF：通过响应时间、错误差异、状态码和 callback 组合确认，不单靠一次超时判断。

🎯 证明目标（P0即可停）

优先级	目标