SSRF在云环境的利用与防御：从一枚漏洞到整个云账号沦陷

原创

m3x1
m3x1

梦醒安全

2026年7月18日 08:00
湖北

在小说阅读器读本章

去阅读

免责声明：本公众号内容仅用于知识分享和学习，由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号梦醒安全及作者不为此承担任何责任，一旦造成后果请自行承担！

PART.01

前言

当Web应用将业务部署上云，SSRF（服务器端请求伪造）这一古老的Web漏洞非但没有消失，反而迎来了它的“黄金时代”。在传统IDC环境中，SSRF的利用范围往往局限于内网探测和服务端口扫描；但在云上，一个携带http://169.254.169.254的恶意请求，就能让攻击者像拥有“任意门”一般，直达云实例的元数据服务，一键窃取高权限临时凭证，进而控制整个云账号

本文将完整还原SSRF在云环境下的攻击全链路——从漏洞探测、元数据凭证窃取，到横向移动与权限提升，并给出经过实战检验的纵深防御方案。

PART.02

内容

什么是SSRF？

SSRF（Server-Side Request Forgery，服务端请求伪造） 是一种允许攻击者诱导Web应用程序向攻击者指定的目标发起请求的漏洞。

简单理解：你开发了一个“从URL导入头像”的功能，用户传一个图片链接，后端去下载。看起来很正常对吧？但问题是——后端服务器在内网，它可以访问内网资源。攻击者传的不是图片链接，而是内网地址或云元数据服务的地址，服务器就会乖乖地去请求，然后把结果返回给攻击者。

SSRF漏洞通常发生在以下场景：

• URL参数处理（如?url=）
• 外部API调用
• 从远程URL加载文件
• Webhook处理
• 图片/页面预览功能

在云环境中，SSRF（服务器端请求伪造）漏洞的核心危害在于可以访问云实例的元数据服务（IMDS），从而窃取高权限的临时凭证，并以此为跳板，横向渗透到整个云环境

核心攻击链：外部可控URL → 内网探测 → 窃取元数据凭证 → 横向移动 → 权限提升

元数据服务

云上的“元数据服务”（Metadata Service），可以把它理解为云服务器的“身份证”和“配置中心”。

它是一个运行在云服务器（虚拟机）内部、只能从内部访问的特殊Web服务。它就像服务器内置的“小秘书”，你不需要登录云控制台，直接在服务器里发个请求，就能问到这个实例的所有关键信息

元数据里的关键信息可能包括：

• 服务器身份：实例ID、主机名、地域可用区等。
• 网络配置：内/外网IP、MAC地址、VPC信息、子网掩码等。
• 硬件规格：实例规格（如CPU、内存）、镜像ID、操作系统类型等。
• 动态信息：云厂商提供的临时访问凭证（最关键！）、即将发生的维护事件等

流程

1. 发现与确认SSRF：寻找业务功能中可能发起请求的参数（如 url=、fetch=、load= 等），尝试注入可访问的URL（如 https://baidu.com）验证漏洞。

攻击者可能会尝试一些协议探测内网，比如：

http://
file:///etc/passwd —— 读取本地文件
dict:// —— 探测端口
gopher:// —— 攻击内网服务（如Redis）

2. 探测云服务商：通过IP归属或HTTP响应头（如 Server: Tencent-ci）判断服务商。

3. 访问元数据服务：针对不同云商使用对应的内网地址：

• AWS: http://169.254.169.254/latest/meta-data/
• GCP: http://metadata.google.internal/computeMetadata/v1/
• Azure: http://169.254.169.254/metadata/instance?api-version=2017-08-01
• 阿里云: http://100.100.100.200/latest/meta-data/
• 腾讯云: http://metadata.tencentyun.com/latest/meta-data/

注意：访问时通常需要特定的请求头（Header），例如Azure需要 Metadata:true，GCP需要 Metadata-Flavor: Google

4. 窃取临时凭证：访问角色凭证路径（如AWS的 /iam/security-credentials/或 /identity-credentials/ec2/security-credentials/），获取 AccessKeyId、SecretAccessKey 等。

以AWS为例，攻击链路如下

# 1. 获取RAM角色名称
curl http://169.254.169.254/latest/meta-data/ram/security-credentials/

# 2. 获取临时凭证
curl http://169.254.169.254/latest/meta-data/ram/security-credentials/ecs-role

# 3. 用凭证操作云API
aliyun ecs DescribeInstances --region cn-hangzhou --access-key-id <STS.xxx> --access-key-secret <xxx> --security-token <xxx>

有了这三样东西，攻击者可以以该服务器的身份执行任何云操作——创建ECS实例、读取OSS存储桶、配置网络规则、甚至删除整个基础设施

5. 横向移动与提权：利用窃取的凭证，通过云厂商CLI或控制台执行命令、接管控制台、窃取数据等

攻击者利用获得的权限进行横向移动：