SSRF防御

SSRF(Server-side Request Forge, 服务端请求伪造)。
由攻击者构造的攻击链接传给服务端执行造成的漏洞，一般用来在外网探测或攻击内网服务。

漏洞防护

• 禁用不需要的协议，仅仅允许http和https请求，可以防止类似于file://, gopher://, ftp:// 等引起的问题。
• 服务端需要认证交互，禁止非正常用户访问服务；
• 过滤输入信息，永远不要相信用户的输入，判断用户的输入是否是一个合理的URL地址
• 过滤返回信息，验证远程服务器对请求的响应是比较容易的方法，如果web应用是去获取某一种类型的文件。那么在把返* 回结果展示给用户之前先验证返回的信息是否符合标准。
• 统一错误信息，避免用户可以根据错误信息来判断远端服务器的端口状态。
• 禁止30x跳转
• 设置URL白名单或限制内网IP