文章总结： 本文深入讲解SSRF实战挖掘与防御体系，指出应从功能逻辑而非单纯参数入手，重点关注视频解析、Webhook等场景。文章详解了伪协议、IP变形及DNSRebinding等绕过技巧，推荐使用HaE与Auto-SSRF插件进行参数盲测与OOB自动化验证。同时强调云环境危害及理解业务逻辑的重要性，构建从逻辑挖掘到自动化检测的完整攻防思维。 综合评分： 90 文章分类： 渗透测试,漏洞分析,实战经验,安全工具,SRC活动

---

第66天-SSRF实战进阶：从功能逻辑挖掘到自动化检测的完整攻防体系

原创

萧瑶 萧瑶

AlphaNet

2026年3月4日 10:33 韩国

一、SSRF 本质：让服务器替你发请求

SSRF（Server-Side Request Forgery）本质是：应用程序接收用户可控的 URL，然后由服务器发起请求。

危险点在于：

1）服务器往往有更高的网络权限

2）服务器能访问内网 IP（如 127.0.0.1、10.0.0.0/8）

3）服务器可能部署在云环境，可以访问云元数据地址

一个典型危险地址：

• http://127.0.0.1

• http://169.254.169.254（云元数据）

如果应用逻辑是：

“用户输入一个链接 → 服务器去下载内容 → 返回结果”

那这就是 SSRF 的温床。

———

二、功能逻辑挖掘：别盯着参数，盯着“功能”

真正的高手不是扫参数，而是扫“功能逻辑”。

常见高危功能场景：

视频解析

格式转换（PDF 转换、图片转码）

在线抓取

数据采集

在线编辑器执行代码

爬虫接口

Webhook 回调

核心思路是问一句话：

服务器是不是在“代我访问”某个地址？

只要答案是“是”，那就是 SSRF 的潜在入口。

在 SRC 实战中，视频解析、站外图片抓取是最常见命中点。很多平台会做域名校验，但忽略了跳转、DNS 解析差异等细节。

———

三、绕过技巧：伪协议 & IP 技巧

常见绕过方式包括：

1）伪协议绕过

file://

gopher://

dict://

ftp://

如果过滤规则只限制 http/https，但底层库支持其他协议，就可能直接打穿。

2）IP 绕过方式

127.0.0.1

localhost

0

2130706433（十进制表示）

0177.0.0.1（八进制）

很多过滤只做字符串匹配，而不做真正解析。

3）DNS Rebinding

第一次解析为外网 IP，通过校验

第二次解析为内网 IP，真正访问

这类问题常见于弱校验场景。

技术世界的一个常见错觉是：“我已经写了 if 判断”。但安全不是写了判断，而是写对了判断。

———

四、参数盲测挖掘：用规则驱动发现

现实中 SSRF 不一定叫 url=xxx。

可能叫：

image

api

callback

feed

path

link

target

redirect

所以要靠规则做“参数盲测”。

推荐插件：

项目地址：

https://github.com/gh0stkey/HaE

作用：

通过规则匹配响应内容，辅助发现隐藏入口参数。

使用流程：

1）在 Burp 中安装 HaE 插件

2）修改规则文件（加入 SSRF 相关关键字）

3）开启插件监听

核心思想不是“扫描漏洞”，而是“扩大感知范围”。

你不是找漏洞，而是在扩大信息熵。

———

五、自动化检测：结合 OOB 验证

真正高效的 SSRF 验证方式是 OOB（Out-of-Band）。

也就是让目标服务器主动请求你控制的地址。

推荐插件：

项目地址：

https://github.com/banchengkemeng/Auto-SSRF

核心能力：

自动替换可疑参数为 Collaborator 地址

监听是否产生外带请求

使用步骤：

1）Burp 安装 Auto-SSRF

2）开启 Burp Collaborator

3）配置插件监听参数

当服务器请求你的外部地址时，你就拿到了“它替你访问”的证据。

这一步的哲学意义在于：

你不再猜测漏洞是否存在，而是让服务器自己证明。

———

六、SRC 实战复盘思路

实战中 SSRF 常见场景：

图片上传后自动解析

视频解析接口

外链检测功能

开放 API 抓取接口

复盘时要注意：

1）是否存在 302 跳转绕过

2）是否存在 URL 二次解析

3）是否存在多层代理

很多 SRC 案例中，前端限制严格，但后端接口未校验。

安全的盲区往往出现在“业务快速上线”的地方。

———

七、自动化与人工的边界

自动化插件可以放大覆盖面，但 SSRF 真正的价值点在：

理解业务逻辑

理解网络拓扑

理解解析链

安全从来不是工具堆叠，而是模型构建。

当你看到一个“解析接口”，你脑子里应该自动浮现：

它在哪发请求？

用什么库？

是否支持重定向？

是否做真实解析？

这才是高级挖掘者的思维结构。

———

八、进阶思考：云环境 SSRF

在云环境中，SSRF 危害被放大。

典型目标：

http://169.254.169.254

可读取：

云实例身份凭证

临时密钥

在某些云环境中，拿到临时凭证，就意味着横向移动的开始。

攻击链会从：

SSRF → 获取凭证 → 控制云资源 → 数据外泄

安全的本质是一条链条，而不是一个洞。

———

总结

SSRF 不是一个“参数型漏洞”。

它是一个：

功能逻辑漏洞

信任边界漏洞

网络访问控制漏洞

当你学会从“功能逻辑”去审视应用，而不是盯着参数，你的漏洞发现能力会指数级提升。

安全世界的一个残酷事实是：

真正危险的不是代码，而是“默认信任”。

下一步可以系统化研究 SSRF 与：

• 反向代理架构

• 微服务内部调用

• 云 IAM 权限模型

当你理解了这些结构，你会发现 SSRF 只是入口，而不是终点。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AlphaNet 萧瑶 萧瑶《第66天-SSRF实战进阶：从功能逻辑挖掘到自动化检测的完整攻防体系》