ssrf-sheriff — 一个用Go编写的简单的SSRF测试工具 | Kitploit

SSRF Sheriff

这是一个用 Go 编写的 SSRF 测试工具。最初是为 Uber H1-4420 2019 伦敦现场黑客活动创建的，但现在已开源，供其他组织实施并回馈。

功能

响应任何 HTTP 方法（GET、POST、PUT、DELETE 等）
可配置的密钥（参见 base.example.yaml）
针对内容的特定响应
- 响应体中包含密钥
  - JSON
  - XML
  - HTML
  - CSV
  - TXT
  - PNG
  - JPEG
- 响应体中不包含密钥
  - GIF
  - MP3
  - MP4

使用方法

go get github.com/teknogeek/ssrf-sheriff
cd $GOPATH/src/github.com/teknogeek/ssrf-sheriff
cp config/base.example.yaml config/base.yaml

# ... 配置 ...

go run main.go

示例请求：

纯文本

$ curl -sSD- http://127.0.0.1:8000/foobar
HTTP/1.1 200 OK
Content-Type: text/plain
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:36 GMT
Content-Length: 21

SUP3R_S3cret_1337_K3y

XML

$ curl -sSD- http://127.0.0.1:8000/foobar.xml
HTTP/1.1 200 OK
Content-Type: application/xml
X-Secret-Token: SUP3R_S3cret_1337_K3y
Date: Mon, 14 Oct 2019 16:37:41 GMT
Content-Length: 81

<SerializableResponse><token>SUP3R_S3cret_1337_K3y</token></SerializableResponse>

待办事项

动态生成携带密钥的有效响应（针对以下格式）
- GIF
- MP3
- MP4
HTTP 响应中的密钥改为每个请求动态生成/创建/签名，而不是对所有请求返回同一个密钥
TLS 支持

致谢

灵感来源于 Frans Rosén 在 BountyCon '19 新加坡的演讲，并根据他的建议制作。

基于 MIT 许可证发布。