CSDNCINO的博客

本关的核心在于组合利用两个漏洞SSRF 的主机限制仅做前缀检查，允许所有本地路径开放重定向漏洞允许将任意 URL 放入Location头通过让 SSRF 客户端先请求合法的本地重定向接口，再自动跟随重定向到达内网管理地址，成功绕过了“只能访问本地”的限制。访问控制检查仅在请求入口执行，而忽略了对自动重定向目标的二次校验。在实际渗透测试中，寻找应用内的开放重定向接口，并将其作为 SSRF 的“跳板”，是突破主机限制最有效的手段之一。

本关的核心在于逐个击破脆弱的黑名单规则IP 黑名单：基于固定字符串匹配（127.0.0.1localhost），无法覆盖127.1这类合法简写形式路径黑名单：基于关键词admin的字符串匹配，可通过双重 URL 编码绕过黑名单防御的本质缺陷在于“只阻挡已知的恶意模式”，而攻击者总能找到黑名单之外的变形方式。本关展示的 IP 简写和双重编码是最基础的两种绕过手段，也是 SSRF 绕过学习的入门必修课。

普通 SSRF 中，服务器对目标 URL 的请求结果会直接返回给攻击者（如页面内容、错误信息等）。而盲 SSRF中，虽然服务器发出了请求，但响应不会返回到前端。攻击者无法通过响应内容判断漏洞是否存在，也无法直接读取内网数据。让目标服务器主动联系我们可控的外部系统。我们在Referer中注入一个由我们控制的域名后端服务器在处理请求时，会向这个域名发起 HTTP 请求（用于分析来源流量）我们在 Collaborator 服务端监听并记录这次交互（包括 DNS 解析和 HTTP 请求）

摘要：该漏洞源于网站错误地将URL哈希值（#后内容）作为jQuery选择器执行，导致恶意代码注入。攻击者通过构造含JavaScript代码的哈希值（如<img src="x" onerror=print()>），触发XSS攻击。利用iframe标签嵌入恶意URL可进一步传播攻击，最终通过print()函数触发漏洞验证。修复建议：严格过滤哈希值输入，避免直接拼接为选择器。

SSRF（Server-Side Request Forgery，服务端请求伪造）是一种允许攻击者诱使服务器端应用程序代表攻击者向任意指定 URL 发起请求的安全漏洞。本关是 SSRF 漏洞的入门级靶场找到有缺陷的参数 → 修改为目标内网地址 → 由服务器代为请求 → 成功绕过访问限制作为 PortSwigger SSRF 学习路径的第一个实验室（Apprentice 难度），它没有任何过滤防护，只需将stockApi改为即可通关。利用服务器对内网的信任，将服务器变成攻击内网的跳板。

本关的核心在于利用 SSRF 进行内网资产发现。由于没有主机限制，我们可以直接向网段发起请求。通过 Burp Intruder 批量遍历 IP 地址的最后一段（1-255），找出在 8080 端口上返回200 OK的管理界面，最后通过该界面删除目标用户。这展示了 SSRF 漏洞在内网探测和横向移动中的强大威力。