[基础漏洞]ssrf漏洞

原理：

         SSRF漏洞产生的原因是服务器端在处理用户提供的输入时，直接使用该输入构造了HTTP或其他协议请求，并发送到目标服务器上。当服务器没有正确过滤和限制这些输入时，攻击者可以通过精心构造的恶意URL，诱导服务器向内网主机或者其他敏感服务器发起请求，从而暴露内部服务信息、攻击内网资源、实施拒绝服务攻击等。

危害:

1. 内网探测与攻击：攻击者可以借此探测内部网络结构和服务，进而发起针对内部系统的攻击。
2. 服务滥用：利用SSRF攻击某些云服务商的API，可能获取敏感信息，如AWS元数据等。
3. 拒绝服务攻击：通过发起大量请求攻击内部系统，导致其崩溃或性能下降。
4. 中间人攻击（MiTM）：在特定条件下，可能配合其他漏洞实现中间人攻击。

防御：

•  输入验证：严格过滤和验证用户提交的所有URL，只允许合法、白名单内的外部资源。
• 代理限制：如果必须发起对外部资源的请求，尽量使用安全的代理服务器，并设置严格的访问控制列表（ACL）。
• 网络隔离：对于不必要的内网服务，应确保其不可从外网通过SSRF途径访问。
• 使用随机Token：类似CSRF防御措施，在请求中加入不可预测的参数以防止伪造请求。

总结：

        原因是服务器端在处理用户提供的输入时，直接使用该输入构造了HTTP或其他协议请求，并发送到目标服务器上。当服务器没有正确过滤和限制这些输入时，攻击者可以通过精心构造的恶意URL，诱导服务器向内网主机或者其他敏感服务器发起请求，从而暴露内部服务信息、攻击内网资源、实施拒绝服务攻击等。危害内网探测与攻击：攻击者可以借此探测内部网络结构和服务，进而发起针对内部系统的攻击。防御 输入验证：严格过滤和验证用户提交的所有URL，只允许合法、白名单内的外部资源。