服務(wù)器端請(qǐng)求偽造（Server-Side Request Forgery，SSRF）是一種由攻擊者構(gòu)造形成由服務(wù)端發(fā)起請(qǐng)求的一個(gè)安全漏洞。產(chǎn)生SSRF漏洞的環(huán)節(jié)就出現(xiàn)在目標(biāo)網(wǎng)站接受請(qǐng)求后在服務(wù)器端驗(yàn)證請(qǐng)求是否合法。
一般情況下，SSRF攻擊的目標(biāo)是從外網(wǎng)無(wú)法訪問的內(nèi)部系統(tǒng)。SSRF形成的原因是服務(wù)端提供了從其他服務(wù)器應(yīng)用獲取數(shù)據(jù)的功能，在用戶可控的情況下，未對(duì)目標(biāo)地址進(jìn)行過(guò)濾與限制，導(dǎo)致此漏洞的產(chǎn)生。
SSRF在攻擊中扮演了中間者的角色，有時(shí)候直接攻擊無(wú)法成效，通過(guò)SSRF可以利用其他主機(jī)的漏洞，攻擊目標(biāo)。如SSRF+SQL注入攻擊內(nèi)部的SQL 數(shù)據(jù)庫(kù) 。
Web應(yīng)用防火墻 可以識(shí)別并阻斷服務(wù)端請(qǐng)求偽造。
鏈接：https://support.huaweicloud.com/productdesc-waf/waf_01_0045.html
華為云推薦：
Web基礎(chǔ)防護(hù) https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html
