SSRF漏洞突击内网Redis安全隐患重大（ssrf打内网redis）

SSRF漏洞（Server-side Request Forgery）指攻击者能够诱导特定服务器，向内部系统发出未授权的请求，在网络架构中重要的攻击手法之一。SSRF攻击者将精心准备一个造成非法攻击源，有效完成穿透内网Redis攻击，造成严重的安全隐患，其中最经典的是可以突击内网Redis。

SSRF攻击者可以利用请求的协议特性发起的跨机攻击，从而让用户可以访问其他内网服务器，进而进行攻击。SSRF 攻击者可以利用 VM 来生成虚假请求，通过该虚假请求实现内网 Redis 的访问。此外，还会使用 DNS域传输从而诱导 Redis 服务器访问内部服务器，并向内部服务器发送一些不安全的命令，实现获取内网的信息。

接下来，我们来看看如何防范SSRF攻击：

检查服务器系统中设置的目标url，是否涉及SSRF攻击，一旦涉及，可以对其校验校验域名，如果不符合要求，一定不能通过请求。

可以利用 IP 白名单的方式限制 SSRF 攻击，这样可以有效削弱 SSRF 攻击的能力，并且迅速发现和阻止SSRF攻击。

我们要着重强调调用网络服务时，必须加入过滤，比如使用户只能访问信任的、有效的 URL，加入适当的 rule 将对SSRF攻击中非法请求进行拦截，并以相应的模式进行展示。代码示例：

if(!$safe_url){

//do something

}

if($url_scheme==“http” && $safe_url != $url ||

$url_scheme == “dns” && $hostname != “google.com”

){

echo “you have been blocked by rule!”;

exit();

}

SSRF攻击突击内网Redis构成的安全隐患是非常现实且严重的，因此我们要尽量采取有效的措施来防止SSRF攻击的发生，上述措施至少可以控制和防止其发生。