【PortSwigger 实战：Basic SSRF against the local server 完整通关指南】

🔥 SSRF 初体验：一行代码轻松拿下本地管理后台！

—— PortSwigger 实战：Basic SSRF against the local server 完整通关指南

Payload: http://localhost/admin/delete?username=carlos

🎯 靶场速览

目标：该实验室有一个库存检查功能，会从内部系统获取数据。管理界面 http://localhost/admin 被限制为只能从服务器本地访问，外部浏览器直接访问会被拒绝。需要利用 SSRF 漏洞访问该管理界面，并删除用户 carlos。

核心逻辑：库存检查功能存在缺陷——它盲目信任用户提供的 stockApi 参数，并由服务器后端向该 URL 发起请求。由于请求是由服务器自己发起的，完全符合“只允许本地访问”的规则，从而绕过了防火墙限制。

难度等级：Apprentice（学徒级）—— 基础 SSRF，无任何过滤防护。

🚀 分步攻击链

第 1 步：发现漏洞入口

访问任意产品页面，点击 “Check stock” 按钮，用 Burp Suite 拦截该 POST 请求。

在请求体（Request Body）中，你会发现一个参数 stockApi，其值为服务器原本要去请求的内部库存 API 地址。

将此请求 右键 → Send to Repeater。

第 2 步：第一次 SSRF 攻击（侦察）

在 Repeater 中，将 stockApi 参数的值修改为：

http://localhost/admin

点击 “Send” 发送请求。

查看右侧的响应窗口，你不会看到库存信息，而是会看到 http://localhost/admin 页面的 HTML 源代码。这证明 SSRF 攻击成功，服务器替我们访问了本地的管理面板。

在返回的 HTML 中，搜索与删除用户相关的链接，找到：

/admin/delete?username=carlos

这是删除用户 carlos 的 API 端点。

第 3 步：第二次 SSRF 攻击（执行）

再次修改 stockApi 参数，构造完整的删除请求：

http://localhost/admin/delete?username=carlos

点击 “Send” 发送请求。

观察响应，会看到一个 302 Found 重定向响应，表示删除操作已成功执行。实验通过 ✅

💡 核心原理

什么是 SSRF？

SSRF（Server-Side Request Forgery，服务端请求伪造）是一种允许攻击者诱使服务器端应用程序代表攻击者向任意指定 URL 发起请求的安全漏洞。

本关的攻击链条

关键点：管理界面限制的是外部访问（来自浏览器的请求），而 SSRF 发起的请求来自服务器自身，完全符合“本地访问”的安全规则，因此绕过。

本关属于哪种 SSRF？

这是 Open SSRF（有回显 SSRF） —— 攻击者可以直接看到服务器的响应内容，利用起来非常直观。与之相对的是 Blind SSRF（盲 SSRF） ，攻击者无法直接看到响应，需要通过带外（OOB）方式验证。

🔧 同类技巧拓展

✅ 排障自检清单

📌 总结

本关是 SSRF 漏洞的入门级靶场，核心思路极其简单：

找到有缺陷的参数 → 修改为目标内网地址 → 由服务器代为请求 → 成功绕过访问限制

作为 PortSwigger SSRF 学习路径的第一个实验室（Apprentice 难度），它没有任何过滤防护，只需将 stockApi 改为 http://localhost/admin 即可通关。

但这恰恰是 SSRF 漏洞最经典的利用场景：利用服务器对内网的信任，将服务器变成攻击内网的跳板。掌握这一基础，后续的黑名单绕过、白名单绕过、盲 SSRF 等进阶关卡才能得心应手。