SSRF服务端请求伪造漏洞

最新推荐文章于 2026-06-30 15:42:45 发布

原创最新推荐文章于 2026-06-30 15:42:45 发布 · 792 阅读

8 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

收录于

2024年程序员学习

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上物联网嵌入式知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、电子书籍、讲解视频，并且后续会持续更新

需要这些体系化资料的朋友，可以加我V获取：vip1024c （备注嵌入式）

如果你需要这些资料，可以戳这里获取

服务端请求伪造攻击(Server-side Request Forgery)
很多web应用都提供了从其他的服务器上获取数据的功能。
使用用户指定的URL, web应用可以获取图片。下载文件，读取文件内容等。
这个功能如果被恶意使用，可以利用存在缺陷的web应用作为代理攻击远程和本地的服务器.这种形式的攻击称为服务端请求伪造攻击 (Server-side Request Forgery) 。
—般情况下，SSRF攻击的目标是从外网无法访问的内部系统。(正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔绝的内部系统)。
SSRF形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有対目标地址做过滤与限制。
比如从指定URL地批获取网页文本内容，加载指定地址的图片，下载等等。
攻击者利用ssrf可以实现的攻击主要有5种：
1.可以对外网、服务器所在内网’ 本地进行端口扫描，获取一些服务的banner信息。
2.攻击运行在内网或本地的应用程序（比如溢岀）。
3.对内网web应用进行指纹识别，通过访问默认文件实现。
4.攻击内外网的web应用，主要是使用get参数就可以实现的攻击（比如struts?, SQli 等）。
5.利用file协议读取本地文件等。
在这里插入图片描述

php-curl扩展

【1】获取网页资源-爬虫
【2】weserver-获取接口数据
【3】FTP-下载文件

php.ini

在这里插入图片描述

curl其他协议

【1】dict协议：用于搭建在线字典服务
【2】gopher协议：是一种信息查找系统，只支持文本，不支持图像，已被HTTP替代
在这里插入图片描述

php危险函数

在这里插入图片描述

SSRF利用方式

1、通过分享功能：通过URL地址分享网页内容：
早期分享应用中，为了吏好的提供用户体验，WEB应用在分享功能中，通常会获取目标URL地址网页内容中的＜tilte＞＜/title＞标签或者＜meta name=“descr ipt ion” content= “” /＞标签中content的文本内容作为显示以提供更好的用户体验.例如人人网分享功能中： http://widget. renren. com/*****?res«xjrceUrl=https://www. nsfocus. com
通过目标URL地址获取了title标签和相关文本内容。而如果在此功能中没有对目标地址的范围做过滤与限制则就存在着SSRF漏洞.
2、转码服务：通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览：由于手机屏幕大小的关系，直接浏览网页内容的时候会造成许多不便，因此有些公司提供了转码功能，把网页内容通过相关手段转为适合手机屏幕浏览的样式。例如百度’ 腾讯、捜狗等公司都有提供在线转码服务。
3、在线翻译：通过URL地址翻译对应文本的内容。提供此功能的国内公司有百度、有道等。
4、图片加载与下载，通过URL地址加载或下载图片：图片加载远程图片地址此功能用到的地方很多，但大多都是比较隐秘，比如在有些公司中的加载自家图片服务器上的图片用于展示.（此处可能会有人有疑问，为什么加载图片服务器上的图片也会有问题，直接使用img标签不就好了？，没错是这样，但是开发者为了有更好的用户体验通常对图片做些微小调整例如加水印、压缩等，所以就可能造成SSRF问题）・
5、图片、文章收藏功能：此处的图片、文章收藏中的文章收藏就类似于功能一’ 分享功能中获取URL地址中title以及文本的内容作为显示，目的还是为了更好的用户体验，而图片收藏就类似于功能四、图片加载。
6、未公开的api实现以及其他调用URL的功能：此处类似的功能有360JS 供的网站评分，以及有些网站通过叩i获取远程地址xml文件来加载内容.