什么是ssrf

利用存在缺陷的web应用作为代理攻击远程和本地的服务器。这种形式的攻击称为服务端请求伪造攻击（Server-side Request Forgery）

ssrf可以做什么

• 可以对外网、服务器所在内网、本地进行端口扫描，获取一些服务的banner信息;
• 攻击运行在内网或本地的应用程序（比如溢出）;
• 对内网web应用进行指纹识别，通过访问默认文件实现;
• 攻击内外网的web应用，主要是使用get参数就可以实现的攻击（比如struts2，sqli等）;
• 利用file协议读取本地文件等。

ssrf是怎样产生的

web应用提供了从其他的服务器上获取数据的功能且没有对目标URL做过滤和限制。如：获取图片，下载文件，读取文件内容等

绕过过滤

• 使用@ 如：http://a.com@10.10.10.10.10
• IP地址转化为进制 如：127.0.0.1 = 2130706433
• 内网地址转化为短地址 如： http://t.cn/RwbLKDx …