漏洞 | 什么是服务器端请求伪造 (SSRF)？

服务器端请求伪造(SSRF)是OWASP 2021年十大漏洞中唯一有自己类别的漏洞类型。近年来，包括Capital One和MS Exchange攻击在内的几起重大网络安全事件，都使用了SSRF作为入侵技术之一。

SSRF漏洞让攻击者从有漏洞的应用程序的后端服务器发送精心制作的请求。犯罪分子通常使用 SSRF 攻击来针对位于防火墙后面且无法从外部网络访问的内部系统。攻击者还可以利用 SSRF 访问通过被利用服务器的环回接口 (127.0.0.1) 提供的服务。


当攻击者完全或部分控制web应用程序发送的请求时，就会出现SSRF漏洞。一个常见的例子是攻击者可以控制web应用程序向其发出请求的第三方服务URL。
展开
技术交流圈
评论
相关推荐