SSRF漏洞——原理-挖掘

SSRF-漏洞

SSRF漏洞：SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由恶意访问者构造形成由服务端发起请求的一个安全漏洞。

一般情况下，SSRF访问的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。 比如从指定URL地址获取网页文本内容，加载指定地址的图片，下载等等。

Ssrf-漏洞用途

1、对外网,服务器所在内网,本地进行端口扫描,获取一些服务的banner信息。

2、攻击运行在内网或本地的应用程序。

3、对内网Web应用进行指纹识别。

4、识别企业内部的资产信息攻击内外网的Web应用,主要是使用HTTP GET请求就可以实现的攻击(比如strust2,SQli等)。

5、利用file协议读取