SSRF 深入实战：内网扫描、打 Redis/MySQL/S3、绕过方式（DNS重绑定/IPv6/HTTP/2）、防御加固。
写在前面：合法学习边界
SSRF 攻击只在授权测试环境进行。
一、SSRF 利用链
1
| ① 发现 SSRF → ② 内网扫描 → ③ 打 Redis/MySQL/S3 → ④ 打云元数据 → ⑤ RCE
|
二、利用方式
1
2
3
4
5
| 打 Redis：写 Crontab / SSH 密钥 / WebShell
打 MySQL：SSRF → 连接内网 MySQL
打云元数据：http://169.254.169.254/
打 S3：s3://bucket/file
打 gopher：gopher://127.0.0.1:6379/_EXPIRE%20msg%200
|
三、绕过方式
1
2
3
| DNS 重绑定 · IPv6（::1）· 127.1/127.2 · HTTP/2
使用协议转换：http:// → gopher://
使用 URL 短链接
|
四、防御加固
1
2
3
4
| 统一出口（内网服务不直接暴露）
禁止访问内网地址
设置 URL 白名单
限制协议（只允许 HTTP/HTTPS）
|
五、小结
SSRF 是打内网的核心入口。利用面广泛（Redis/MySQL/S3/云元数据），防御核心是内网隔离 + URL 白名单 + 协议限制。