常见漏洞验证121 条

SSRF 与云元数据防护

云上实例的元数据服务是 SSRF 的重点防护对象：启用 IMDSv2、收紧实例角色权限，并在应用层基于解析后的 IP 做目标校验。

校验要点（伪代码）

解析 URL → 得到目标 IP
拒绝：回环、链路本地（含云元数据地址段）、内网私有段（按业务需要）
仅放行：业务必需的外部域名/IP 白名单
同时限制：协议（仅 http/https）、端口、重定向次数

仅做字符串黑名单不够：十进制、八进制等 IP 写法仍可能到达目标地址，必须校验解析结果。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌