SSRF
SSRF是一类Web安全漏洞，攻击者通过控制服务器发出的请求地址，让服务器代为访问内网资源或敏感接口，被OWASP Top 10 2021单独列为A10类漏洞
核心事实
时间轴 (近 90 天)
常见的SRC入门方向包括信息泄露、越权访问、XSS、SSRF等中低危漏洞，这些漏洞对工具依赖较低、验证路径清晰，适合作为练手目标。
Ars Technica 报道了智能体间提示注入问题：一个被攻破的内部智能体向信任它的其他智能体传递注入指令，部分场景导致服务端请求伪造（SSRF）。
Agent 场景必须防范 SSRF 攻击，禁止抓取私有 IP 段（10.x、172.16.x、192.168.x、127.x）和云元数据端点 169.254.169.254，并在 DNS 解析后再次校验实际 IP 以防止域名重绑定绕过。
多数同类网页抓取工具只做一次DNS检查，HTTP重定向即可绕过其内网地址限制。
Fetch MCP服务器默认拒绝私有、回环和链路本地地址（包括云元数据端点169.254.169.254），并对每一次重定向跳转重新检查目标IP。
Webhook 方案需防范 SSRF（服务端请求伪造），成熟实现通常要求回调地址经过归属验证（如发送 challenge 并校验响应），并对目标 IP 段做白名单限制。
SSRF的核心防御不是简单黑名单，而是对协议、主机、端口和路径做白名单式的规范化校验，并把文件读取限制在预设目录内。
在 LSCBench 的 Go 语言 LocalAI SSRF 任务中，GPT-5.6-Sol 的 GetURI 会读取传入的任何路径，包括 file:// URL；参考修复将读取限制在模型目录内，但没有模型做到这一点。
LSCBench 中按漏洞家族统计，内存安全的合并功能+安全通过率最高为 44%，注入类为 28%，SSRF 仅 3%，信息暴露仅 1%。
具有路径遍历的文件读取工具、没有目标过滤的URL抓取工具（SSRF载体）和没有允许列表的Shell执行工具（任意代码执行）都是间接提示注入的可利用项。
还有 23 条时间轴事件
全部知识事实 (20)
SQL注入、XSS、SSRF等漏洞长期占据OWASP十大安全风险榜单
80%已验证DNS Rebinding 是一种利用 DNS 解析时间差绕过同源策略的攻击技术，通过将 DNS TTL 设为极短值使域名在页面加载后重新解析到 127.0.0.1
75%已验证SSRF是一类Web安全漏洞，攻击者通过操纵服务器端应用程序向非预期的内部或外部地址发起HTTP请求
75%已验证2019年Capital One数据泄露事件与SSRF结合元数据接口有关，导致上亿用户信息外泄。
65%待验证常见的SRC入门方向包括信息泄露、越权访问、XSS、SSRF等中低危漏洞，这些漏洞对工具依赖较低、验证路径清晰，适合作为练手目标。
50%待验证Agent 场景必须防范 SSRF 攻击，禁止抓取私有 IP 段（10.x、172.16.x、192.168.x、127.x）和云元数据端点 169.254.169.254，并在 DNS 解析后再次校验实际 IP 以防止域名重绑定绕过。
50%待验证多数同类网页抓取工具只做一次DNS检查，HTTP重定向即可绕过其内网地址限制。
50%待验证Fetch MCP服务器默认拒绝私有、回环和链路本地地址（包括云元数据端点169.254.169.254），并对每一次重定向跳转重新检查目标IP。
50%待验证Webhook 方案需防范 SSRF（服务端请求伪造），成熟实现通常要求回调地址经过归属验证（如发送 challenge 并校验响应），并对目标 IP 段做白名单限制。
50%待验证SSRF的核心防御不是简单黑名单，而是对协议、主机、端口和路径做白名单式的规范化校验，并把文件读取限制在预设目录内。
50%待验证在 LSCBench 的 Go 语言 LocalAI SSRF 任务中，GPT-5.6-Sol 的 GetURI 会读取传入的任何路径，包括 file:// URL；参考修复将读取限制在模型目录内，但没有模型做到这一点。
50%待验证LSCBench 中按漏洞家族统计，内存安全的合并功能+安全通过率最高为 44%，注入类为 28%，SSRF 仅 3%，信息暴露仅 1%。
50%待验证具有路径遍历的文件读取工具、没有目标过滤的URL抓取工具（SSRF载体）和没有允许列表的Shell执行工具（任意代码执行）都是间接提示注入的可利用项。
50%待验证MCP服务器在构建出站请求时直接使用Agent提供的地址，未验证该地址实际解析到哪里，攻击者可借此让服务器访问内部网络、云元数据接口或其他敏感资源。
50%待验证防御SSRF的常见做法包括：解析目标域名得到IP后判断是否落在私有地址段、链路本地地址、回环地址等受限范围内；限制协议仅允许http/https；每次重定向后重新执行校验。
50%待验证运行时代理防火墙的SSRF防护包括阻断内部URL（如localhost、169.254.169.254、10.x、192.168.x）、验证重定向链（最多3跳、禁止协议降级）、阻止DNS重绑定，并通过深度文档校验提取和验证嵌入式URL。
50%待验证单个被攻陷的MCP服务器可以执行提示注入、凭证外泄、投放钓鱼工具包指纹、泄露PII、通过OAuth窃取令牌以及发起SSRF攻击。
50%待验证若LLM输出在未编码情况下被渲染或执行，会引发XSS（渲染为HTML/Markdown时）、SQL注入（拼接数据库查询时）、SSRF（包含后端抓取的URL时）
50%待验证将私有地址和元数据地址列入默认拒绝名单是防御 SSRF 攻击最基础最关键的一步，开发者实现具有网络访问能力的 MCP 工具时应优先参照
50%待验证mcp-server-fetch 默认拒绝私有地址、回环地址和元数据地址，作为 SSRF 防护措施
50%