绕过 on SoulJian小站

SSRF深入实战：利用面与绕过

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

SSRF 攻击只在授权测试环境进行。

一、SSRF 利用链

1

① 发现 SSRF → ② 内网扫描 → ③ 打 Redis/MySQL/S3 → ④ 打云元数据 → ⑤ RCE

二、利用方式

1
2
3
4
5


打 Redis：写 Crontab / SSH 密钥 / WebShell
打 MySQL：SSRF → 连接内网 MySQL
打云元数据：http://169.254.169.254/
打 S3：s3://bucket/file
打 gopher：gopher://127.0.0.1:6379/_EXPIRE%20msg%200

三、绕过方式

1
2
3


DNS 重绑定 · IPv6（::1）· 127.1/127.2 · HTTP/2
使用协议转换：http:// → gopher://
使用 URL 短链接

四、防御加固

1
2
3
4


统一出口（内网服务不直接暴露）
禁止访问内网地址
设置 URL 白名单
限制协议（只允许 HTTP/HTTPS）

五、小结

SSRF 是打内网的核心入口。利用面广泛（Redis/MySQL/S3/云元数据），防御核心是内网隔离 + URL 白名单 + 协议限制。

SSRF深入实战：利用面与绕过手法

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

SSRF 测试只在授权环境进行。对非授权系统探测内网可能触犯法律。

一、SSRF 原理

1
2
3


SSRF（Server-Side Request Forgery）：
服务器代替用户请求指定的 URL。攻击者控制 URL 参数，
让服务器请求内网地址或云元数据。

二、SSRF 利用拓扑

三、SSRF 利用场景

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


场景 1：云元数据获取凭据
 169.254.169.254/latest/meta-data/iam/security-credentials/

场景 2：内网 Redis 未授权
 gopher://127.0.0.1:6379/_SET msg "pwned"

场景 3：内网端口扫描
 探测 80/443/6379/27017/8080/9200/11211

场景 4：文件读取
 file:///etc/passwd
 file:///etc/shadow

场景 5：K8s API 访问
 http://127.0.0.1:8080/api/v1/namespaces/default/pods

四、绕过手法

第 1 种：协议绕过

1
2
3
4
5


file:///etc/passwd
gopher://127.0.0.1:6379/_info
dict://127.0.0.1:11211/stats
sftp://127.0.0.1:22
ldap://127.0.0.1:389

第 2 种：IP 格式绕过

1
2
3
4
5
6


127.0.0.1 = 0177.0.0.1 （八进制）
127.0.0.1 = 2130706433 （十进制）
127.0.0.1 = 0x7f000001 （十六进制）
127.0.0.1 = 127.1 （省略补全）
127.0.0.1 = [::1]:80 （IPv6）
127.0.0.1 = [0:0:0:0:0:0:0:1]:80

第 3 种：DNS 重绑定

1
2


第 1 步：域名解析到外部 IP（通过白名单校验）
第 2 步：服务器真正连接时，域名解析到内网 IP

五、检测方法

1
2
3
4
5
6


# 手动检测
curl "http://target/api?url=http://127.0.0.1:6379"
# 响应包含 Redis 响应 → SSRF 存在

# 自动检测
nuclei -t ssrf.yaml

六、防御措施

1
2
3
4
5


1. URL 白名单（只允许指定域名/IP）
2. 禁用非 http(s) 协议
3. 禁止内网 IP + 元数据 IP
4. 网络层隔离（SSRF 出口在独立子网）
5. 云元数据使用 IMDSv2（要求 Token）

七、小结

SSRF 的危害不仅在于"探测内网"，更在于打到内网未授权服务（Redis/MQ/K8s API/云元数据）→ Getshell。防御关键是URL 白名单 + 协议限制 + 网络隔离。

WAF原理与绕过思路

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

WAF 绕过测试只在授权测试环境进行。

一、WAF 架构

1

① 流量接入 → ② 规则匹配 → ③ 动作执行（允许/阻止/重写）

二、绕过方式

1
2
3
4
5


编码绕过：URL编码/Base64/Unicode
分块传输：Transfer-Encoding: chunked
协议滥用：HTTP/2 · Host 头注入
大小写混淆：SeLeCt / UNION+SELECT
注释插入：/**/ · /*xx*/

三、防御加固

1
2


规则更新 · 深度包检测（DPI）· 行为分析
多层 WAF 部署 · 异常流量告警

四、小结

WAF 是 Web 安全的重要防线，但不是万能的。绕过 WAF 的方法多样，防御方需持续更新规则并结合行为分析。

文件上传漏洞与WebShell原理

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

文件上传攻击只在授权测试环境进行。

一、WebShell 架构

1

① 上传绕过 → ② 获取 WebShell → ③ 连接冰蝎/哥斯拉 → ④ 权限维持 → ⑤ 横向移动

二、上传绕过方式

1
2
3
4
5
6
7


前端校验：绕过 JavaScript 校验
MIME 类型：修改 Content-Type
后缀黑名单：.php → .phtml / .php5
大小写：.PhP / .PHP
空格绕过：shell.php. → 服务器去除空格
NTFS 流：shell.php::$DATA
图片马：GIF89a + PHP 代码

三、防御加固

1
2
3


白名单上传 · 重命名文件 · 随机文件名
上传目录禁止执行 · 使用 CDN 存储
WAF 规则检测 · 文件类型深度检测

四、小结

文件上传的核心是绕过校验 + 得到可执行 WebShell。防御核心是白名单 + 重命名 + 目录禁执行。