| 入口 | URL 参数、回调地址、头像/图片抓取、文档预览 |
|---|---|
| 验证 | 指向自建回显服务观察请求到访与响应差异 |
| 边界 | 不扫描端口、不请求云元数据地址 |
验证流程
验证流程
1. 用自建可控地址（如内部测试机）替换目标 URL 参数
2. 在回显服务上确认是否收到来自应用服务器的请求
3. 对比内网地址与公网地址的响应差异，判断访问控制是否缺失
4. 记录请求样本与网络路径（脱敏）不要在授权外做端口探测式 SSRF 利用；云元数据地址一律不主动请求，改用配置核查判断防护是否到位。
SSRF 验证方法（服务端请求伪造）
当服务端请求目标由用户可控时，验证其是否能触达内网或本机资源；聚焦 URL 参数、webhook、图片抓取与文档转换类功能。
易错点
- 只测试 http:// 写法，忽略其他协议与跳转场景
- 忽略重定向导致目标地址被二次改写的情况
数据来源与参考
- OWASP Cheat Sheet：Server Side Request Forgery Prevention
- CWE-918