SSRF漏洞

最新推荐文章于 2025-05-10 11:58:10 发布
最新推荐文章于 2025-05-10 11:58:10 发布
阅读量232 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 代码审计 PHP 文章标签： php SSRF gopher
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_37466661/article/details/126672109
SSRF（服务器端请求伪造）是一种安全漏洞，允许攻击者通过服务器发起请求到内部系统。该漏洞可能导致暴露CDN后的IP、端口扫描、内部应用攻击和文件读取等风险。常见于URL分享、转码服务、图片加载等功能中。防护SSRF至关重要，以保护内网资源不被滥用。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、目录

  • SSRF介绍

二、SSRF介绍

  • SSRF定义

    SSRF(服务器端请求伪造)是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问到的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统

  • SSRF漏洞的危害

    1. 绕过cdn寻找真实ip。
    2. 可以对外网的服务器所在内网、本地进行端口扫描，获取一些服务的banner信息。
    3. 攻击运行在内网或本地的应用程序。
    4. 对内网web应用进行指纹识别，通过访问默认文件实现。
    5. 攻击内外网的web应用，主要是使用get参数就可以实现的攻击(比如structs2，sqli等)。
    6. 利用file协议读取本地文件等。

  • SSRF漏洞经常出现的地方

    1. 分享：通过URL地址分享网页内容(一般的JSP的网站居多)。
    2. 转码服务。
    3. 在线翻译。
    4. 远程图片加载与下载：通过URL地址加载或下载图片。
    5. 图片、文章收藏功能。
    6. 未公开的api实现以及其他调用URL的功能。
    7. webmail收取其他邮件(pop3/imap/smtp)。
    8. 离线下载：百度网盘、迅雷。
    9. 从URL关键字中寻找：share、wap、url、link、src、source、target、u、3g、display、sourceURl、imageURL、domain…
ssrf漏洞修复(ssrf漏洞修复方式)
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
10-09 4403
区块链去中介化、共识机制、不可篡改的特点，增加数据流转效率，减少成本，实时监控资产的真实情况，保证交易链条各方机构对底层资产的信任问题。在区块链行业，地址追溯是一个相对敏感的话题。当然，地址追溯的方法并不限于以上提到的几点，而能够突破交易所的黑客也必然会使用各种反追溯的手段来应对，包括利用去中心化交易所套现，利用混币/搅拌机等技术手段阻碍追溯等。具体方法是通过区块链浏览器输入可疑地址，查询该地址的交易，从交易结果列表中寻找出大额的资金流向，按照新的流向打开每层地址，逐层深入查询，即可得出大额资金的流向图。
SSRF漏洞复现
m0_65665796的博客
08-25 774
在这个IP地址下只开放了80端口，那这个时候好像有些束手无策了，但是我们转换思想，为什么不能存在其他ip地址呢，这毕竟是内网，我们便可以探测该网段上存活的主机了，这里我手动探查172.21.0.1，发现这个ip并没有什么反应。但是我们查看/etc/shadow就不可，因为我们的权限不够，那我们使用dict协议看看服务器本地开启了哪些端口，经过测试，发现没有明显的反馈，那我们可以看一下页面返回值，来猜测。172.21.0.3，在这个ip下，出现了不一样的结果，该漏洞需要部署在Linux下，拉取docker。
常见WEB漏洞----SSRF详解
最新发布
2301_76419201的博客
05-10 2420
SSRF (Server-Side Request Forgery)服务器端请求伪造SSRF是Server Side Request Forgery的缩写，指的是一种安全漏洞和攻击技术。它发生在WWeb应用程序中，攻击者通过欺骗服务器发起未经授权的请求，使服务器从受攻击者控制的外部资源中获取或操作数据。ASSRF可以被用于访问和操作目标服务器内部的资源，如内部网络服务、数据库、文件系统K。
ssrf漏洞
JunDao73的博客
03-12 4647
ssrf漏洞
ssrf漏洞之——漏洞复现
V_vevive的博客
08-25 837
6.发送三条redis命令，即可将弹shell的脚本写入/etc/crontab,之后将shell发送到指定的ip的一个端口，ip可自己更改，之后在192.168.16.131上使用nc监听4444端口，输入nc -lvvp 4444 开启监听。将url编码后的命令放到redis服务器的ip后(http://172.22.0.2:6379/命令)，替换url发送，过一会nc处就会自动弹出一个控制172.22.0.2:6379的shell。将页面请求的url改为指定本地文件路径的url。
ssrf漏洞利用+CTF实例
hyq99999的博客
09-08 1687
ssrf漏洞，redis未授权访问
SSRF漏洞（原理、挖掘点、漏洞利用、修复建议）
xv66666的博客
07-03 7385
SSRF (Server-Side Request Forgery,服务器端请求伪造)是一种由攻击者构造请求，由服务端发起请求的安全漏洞。一般情况下，SSRF攻击的目标是外网无法访问的内部系统(正因为请求是由服务端发起的，所以服务端能请求到与自身相连而与外网隔离的内部系统)。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值