Python 3でのみテスト済み
httpまたはhttpsを付けずにテストするウェブサイトのリストを指定してください。これにより、各サイトのSSRF脆弱性をテストします。
DOのVPSを使用してください
Atlassian OAuth Plugin の IconUriServlet は、バージョン 1.3.0 以降で 1.9.12 未満、およびバージョン 2.0.0 以降で 2.0.4 未満のバージョンに影響し、リモートの攻撃者がサーバーサイドリクエストフォージェリ（SSRF）を介して内部ネットワークリソースのコンテンツにアクセスしたり、XSS攻撃を実行したりすることを可能にします。
Atlassian Jira によると、以下のバージョンが脆弱です:
サーバーサイドリクエストフォージェリ（SSRF）攻撃では、攻撃者はサーバー上の機能を悪用して内部リソースを読み取ったり更新したりできます。攻撃者は、サーバー上で実行されているコードが読み取ったりデータを送信したりするURLを提供または変更できます。URLを慎重に選択することで、攻撃者はAWSメタデータなどのサーバー設定を読み取ったり、HTTP対応データベースなどの内部サービスに接続したり、公開を意図していない内部サービスに対してPOSTリクエストを実行したりできる可能性があります。
対象アプリケーションには、URLからデータをインポートしたり、URLにデータを公開したり、その他、改ざんされる可能性のあるURLからデータを読み取ったりする機能がある場合があります。攻撃者は、まったく別のURLを指定したり、URLの構築方法を操作したり（パストラバーサルなど）することで、この機能への呼び出しを変更します。
操作されたリクエストがサーバーに送信されると、サーバーサイドのコードは操作されたURLを取得し、そのURLにアクセスしてデータを読み取ろうとします。攻撃者は対象のURLを選択することで、インターネットに直接公開されていないサービスからデータを読み取れる可能性があります:
クラウドサーバーのメタデータ - AWSなどのクラウドサービスは、http://169.254.169.254/latest/meta-data/ 上にRESTインターフェースを提供しており、そこから重要な設定情報や、場合によっては認証キーを抽出できます。
データベースのHTTPインターフェース - MongoDBなどのNoSQLデータベースはHTTPポート上にRESTインターフェースを提供します。DockerとKubernetes - ローカルポートが内部に公開されている場合、攻撃者はポッドやコンテナを作成・削除し、他の秘密情報を取得できます。
データベースが内部でのみ利用可能であると想定されている場合、認証が無効になっている可能性があり、攻撃者はデータを抽出できます。内部RESTインターフェース
ファイル - 攻撃者は file:// URIs を使用してファイルを読み取れる可能性があります。また、この機能を利用して、信頼できるソースからのみデータを読み取ることを想定したコードに信頼できないデータをインポートし、入力検証を回避することもできます。
試すと楽しいSSRFペイロード....
AWS - IAMロールはAWSキーを漏洩します
http://169.254.169.254/latest/meta-data/
Alibaba
http://100.100.100.200/latest/meta-data/
Docker - コンテナの一覧表示
http://127.0.0.1:2375/v1.24/containers/json
Kubernetes ETCD - APIキーや内部IP・ポートが含まれる可能性があります
http://127.0.0.1:2379/v2/keys/?recursive=true