深入解析SSRF漏洞中的Curl利用：原理、实战与防御（附Pikachu靶场详解）-拾贝生活号

在当今的网络安全领域，服务器端请求伪造（Server-Side Request Forgery，简称SSRF） 是一个不可忽视的高危漏洞。而作为后端开发中常用的HTTP请求工具，Curl 在不当使用时，常常成为SSRF攻击的“帮凶”。本文将围绕“SSRF + Curl”这一主题，从漏洞原理、攻击手法、真实案例到防御策略，为你全面解析这一关键安全问题，适合从入门到进阶的安全爱好者与开发者阅读。

深入解析SSRF漏洞中的Curl利用：原理、实战与防御（附Pikachu靶场详解）

什么是SSRF漏洞？为什么Curl是“重灾区”？

SSRF漏洞 是指攻击者通过操控服务器发起本不该由其执行的网络请求，从而访问内部系统资源、扫描端口，甚至实现远程命令执行等恶意操作。

而 Curl 是PHP、Python等语言中广泛使用的命令行工具和库，支持多种协议（如HTTP、HTTPS、FTP、FILE、DICT、GOPHER等），常用于后端服务的数据抓取、API调用等场景。

当开发者使用Curl时，若直接将用户输入作为请求目标URL，且未进行严格的输入验证与协议限制，就极易引发SSRF漏洞。

✅ 典型危险代码示例（PHP）：

<?php
$url = $_GET['url'];
$ch = curl_init($url);
curl_exec($ch);
curl_close($ch);
?>

这段代码直接将用户输入的 url 参数传入 curl_init()，攻击者可构造恶意URL，让服务器访问内网资源。

SSRF + Curl 的常见攻击场景

1. 读取本地敏感文件（File协议）

利用Curl支持 file:// 协议的特性，攻击者可尝试读取服务器上的敏感文件。

🔍 Payload示例：

http://example.com/ssrf.php?url=file:///etc/passwd
http://example.com/ssrf.php?url=file://C:/Windows/win.ini

在Pikachu靶场中，输入：

http://127.0.0.1/pikachu/vul/ssrf/ssrf_curl.php?url=file:///D:/testpk.txt

即可读取本地文件内容，造成信息泄露。

2. 探测内网端口与服务（HTTP/DICT协议）

攻击者可利用Curl发起对内网IP的请求，判断端口是否开放。

🔍 端口扫描Payload：

http://127.0.0.1/ssrf.php?url=http://127.0.0.1:80
http://127.0.0.1/ssrf.php?url=dict://127.0.0.1:3306

若返回内容不同或响应时间异常，即可判断服务存在。

3. 访问内网管理接口（如Redis、Docker API）

许多内网服务（如Redis、Jenkins、Docker）默认无认证或弱认证。通过SSRF可间接访问这些接口，进而实现未授权操作或RCE。

🌰 案例： 攻击者通过SSRF访问 http://127.0.0.1:6379，向Redis写入SSH公钥，最终获取服务器权限。

4. 绕过防火墙与访问云元数据（Cloud Metadata）

在云环境中，元数据服务（如AWS的 169.254.169.254）常暴露敏感信息。SSRF可绕过外网限制，直接访问这些接口获取AK/SK、实例信息等。

🔐 云环境典型Payload：

http://127.0.0.1/ssrf.php?url=http://169.254.169.254/latest/meta-data/

实战演练：Pikachu靶场中的SSRF（Curl）挑战

在知名的Web安全学习靶场 Pikachu 中，SSRF模块是必练项目。我们以“SSRF (curl)”关卡为例：

初始URL：

http://127.0.0.1/pikachu/vul/ssrf/ssrf_curl.php?url=http://127.0.0.1/pikachu/vul/ssrf/ssrf_info/info1.php

攻击步骤：

✅ 访问公网网站： 将 url 参数改为 http://www.baidu.com，验证Curl功能。
✅ 读取本地文件： 使用 file:// 协议读取系统文件，如 win.ini。
✅ 端口扫描： 尝试 dict://127.0.0.1:3306，观察响应判断MySQL是否运行。

关键点：

Curl支持多协议是双刃剑，需严格过滤。
即使无回显，也可通过时间盲注或DNS外带技术探测内网。

如何有效防御SSRF漏洞？

1. 输入验证与白名单机制

严格校验用户输入的URL，只允许特定域名或IP。
使用正则表达式或URL解析库进行格式校验。

✅ 示例（Python）：

from urllib.parse import urlparse

def is_allowed_url(url):
    allowed_domains = ['api.example.com', 'cdn.example.net']
    parsed = urlparse(url)
    return parsed.netloc in allowed_domains