【网络安全 | 漏洞挖掘】Oracle：SSRF获取元数据

未经许可，不得转载。

前言

Acme 是一家广受欢迎的播客托管公司，拥有庞大的客户群体。与许多大型运营公司一样，Acme 采用了Apiary的服务，使用户能够安全高效地管理他们的播客。

Apiary 于2017年初被Oracle收购，提供了一套完整的工具集，用于开发、测试和管理REST API。

正文

注册 Acme Services。主页面如下：

上图显示了带有模板的 Apiary REST API 页面。左侧列出了可用的端点列表，每个端点根据其用途通常具有不同的请求方法，如 GET、POST 或 PUT；中间部分展示了有关每个端点的详细信息；右侧是 REST API 控制台，其中包含修改请求的各种选项，如 URI 参数、请求标头和请求正文。

右侧给出了一个示例URI：https://polls.apiblueprint.org/questions，并只能发送 GET 请求。

根据端点名称推测，发送GET请求将返回与调查相关的内容。使用UI控制台发送请求后，收到了预期的数据：

而该请求在BurpSuite中却是这样的：