SSRF流量特征

原理

攻击者通过服务器上的应用程序访问内网资源或者访问恶意服务器

流量

日志中大量指向内网IP的请求，
尤其是使用
非常规协议 file://、gopher://、dict://
请求非常规端口 oracle:1521、mysql:3306、redis:6379、consul:8500等

weblogic联动

Weblogic的SSRF漏洞（如/uddiexplorer/SearchPublicRegistries.jsp）可探测内网开放的Redis服务（默认端口6379），通过注入HTTP头中的换行符（%0D%0A）发送Redis命令，将恶意脚本写入/etc/crontab，实现反弹Shell或植入后门

http://target/uddiexplorer/SearchPublicRegistries.jsp?operator=http://内网IP:6379/test%0D%0A...