服务器端请求伪造(SSRF)

服务器端请求伪造(SSRF)在服务器使用用户可控的 URL 拉取远程资源且缺乏充分校验时发生。攻击者可借助服务器的网络权限访问通常无法从互联网到达的内部服务——云元数据接口、管理控制台、数据库——窃取敏感数据、扫描端口或触发远程代码执行。SSRF 在云环境中尤为严重,因为元数据服务可能返回临时凭据。防御措施包括对出站目的地实施白名单、禁止访问链路本地与私有地址段、禁用未使用的 URL 协议、为内部服务强制身份验证,以及在 AWS 强制使用 IMDSv2 或在其他云中启用对等措施。