2025Web 攻防技能竞赛题库及 SSRF 利用详解.docxVIP

2025Web攻防技能竞赛题库及SSRF利用详解

考试时长：120分钟满分：100分考试形式：理论+实操

一、单项选择题（每题3分，共30分）

1.下列关于SSRF漏洞的描述，正确的是（）

A.仅能对Web应用所在服务器的本地端口进行探测

B.本质是攻击者通过控制服务器发起未授权的网络请求

C.只能通过HTTP协议触发

D.不会对内部网络造成安全威胁

2.以下哪种场景最可能存在SSRF漏洞（）

A.用户登录功能

B.图片上传功能

C.基于URL的图片预览功能

D.商品搜索功能

3.攻击者利用SSRF漏洞探测内部网络设备时，常用的协议不包括（）

A.HTTP

B.HTTPS

C.FTP

D.ICMP

4.下列哪种方法不能防御SSRF漏洞（）

A.对请求的URL进行白名单校验

B.禁止使用localhost、等本地地址

C.允许请求任意URL以提升用户体验

D.限制请求的端口范围

5.当攻击者通过SSRF漏洞访问内部MySQL数据库时，可能使用的端口是（）

A.21

B.3306

C.8080

D.443

6.下列关于SSRF与XSS漏洞的区别，说法正确的是（）

A.两者均是客户端漏洞

B.SSRF是服务器端漏洞，XSS是客户端漏洞

C.两者均是服务器端漏洞

D.SSRF是客户端漏洞，XSS是服务器端漏洞

7.攻击者利用SSRF漏洞读取服务器本地文件时，可能会构造的URL是（）

A.

B.file:///etc/passwd

C./file.txt

D.:8080

8.以下哪种SSRF漏洞的利用方式可能导致服务器被植入恶意代码（）

A.探测内部端口开放情况

B.访问内部Web应用后台

C.利用FTP协议下载恶意文件到服务器

D.读取服务器本地配置文件

9.针对SSRF漏洞的URL白名单校验，以下哪种绕过方式是可行的（）

A.使用IP地址替代域名

B.使用“”替代“localhost”

C.利用DNS重绑定技术

D.对URL进行URL编码

10.下列关于SSRF漏洞危害的描述，错误的是（）

A.可探测内部网络拓扑

B.可读取服务器本地敏感文件

C.可直接获取客户端浏览器缓存数据

D.可攻击内部网络中的其他设备

二、简答题（每题10分，共30分）

1.请详细说明SSRF漏洞的产生原理，并列举至少三种SSRF漏洞的典型利用场景。

2.某Web应用存在SSRF漏洞，其URL校验规则为“仅允许请求以开头的URL”，请分析该校验规则的缺陷，并给出至少两种可行的绕过payload及绕过原理。

3.请从输入校验、协议限制、权限控制等角度，阐述防御SSRF漏洞的完整解决方案。

三、实操题（每题20分，共40分）

1.SSRF漏洞利用实操

已知某Web应用存在SSRF漏洞，提供“远程图片获取”功能，用户输入URL后服务器会获取该URL对应的图片并显示。服务器所在内网为/24，已知内网存在一台MySQL服务器（IP：0，端口：3306）和一台FTP服务器（IP：0，端口：21，用户名：test，密码：test123）。请完成以下操作：

（1）写出探测MySQL服务器3306端口是否开放的payload，并说明判断依据；

（2）写出连接FTP服务器并下载根目录下“malicious.php”文件到Web服务器/tmp目录的payload；

（3）写出读取Web服务器本地“/var/www/html/config.php”配置文件的payload，并说明该payload的适用条件。

2.SSRF漏洞防御实操

某PHPWeb应用的“远程内容获取”功能代码如下：

?php

$url=$_GET[url];

//简单校验：仅允许http和https协议

$parse=parse_url($url);

if($parse[scheme]!=http$parse[scheme]!=https){

echo仅支持http和https协议;

exit;

}

//获取远程内容并输出

$content=file_get_contents($url);

echo$content;

?

请指出该代码存在的SSRF漏洞及防御缺陷，并对代码进行修改，实现全面的SSRF漏洞防御。

参考答案及解析

一、单项选择题

1.答案：B解析：SSRF漏洞本质是服务器在攻击者控制下发起未授权网络请求，可探测外部及内部网络，支持多种协议，会对内部网络造成严重威胁。A选项“仅能探测本地端口”错误，可探测内网其他设备；C选项“仅HTTP协议”错误，还支持file、ftp等协议；D选项“无