SSRF漏洞防御:黑白名单的编写

抠脚大汉在网络

已于 2023-11-27 11:52:18 修改

阅读量443

点赞数 8

分类专栏：防御手法文章标签： ssrf 漏洞防御 web安全

于 2023-11-27 11:10:41 首次发布

本文链接：https://blog.csdn.net/weixin_70137901/article/details/134618175

版权

防御手法专栏收录该内容

1 篇文章 0 订阅

订阅专栏

文章目录

SSRF漏洞防御:黑白名单的编写
- 黑名单的制作
- 白名单的制作

SSRF漏洞防御:黑白名单的编写

以pikachu靶场中SSRF(crul)为例

在这里插入图片描述
我们可以看到未做任何防御

我们查看源代码

黑名单的制作

思路: 什么内容不能访问
构造代码

 $xy=array(
        "file"   => "",
        "http"   => "",
        "https"  => "",
        "gopher" => "",
        "dict"   => "",
        "ldap"   => "",
        "tftp"  => ""
    ); 

    $URL1=str_replace(array_keys($xy),$xy,$URL);
    if ($URL1 != $URL){
        exit("输入错误");
    };

插入到判断语句里

在这里插入图片描述
当有人进行ssrf攻击时返回输入错误

白名单的制作

思路:什么内容可以访问
构造代码

 $bmd = "http://127.0.0.1/pikachu/vul/ssrf/ssrf_info/info2.php";
    $bmd1 = "http://127.0.0.1/pikachu/vul/ssrf/ssrf_info/info1.php";
    if ($URL == $bmd){
        
    } elseif ($URL == $bmd1){

    }else{
        exit("输入错误！");
    };