是否可以在 HTML 中设置自定义 HTTP 标头（例如 (Metadata-Flavor: Google)）？
我在网站中发现了服务器端请求伪造 (SSRF) 漏洞， 在请求正文中；有一个名为“html”的 JSON 对象，它反映在 PDF 文件中，下载链接以 https:// storage.googleapis.com/../, 当我尝试使用
然后我尝试将此 src=http:// /metadata.google.internal/computeMetadata/v1/ 我在框架内收到一条消息：“缺少必需的标头：Metadata-Flavor”， 应该是元数据风格：Google， 然后我尝试了很多方法，例如，
http://metadata.google.internal/computeMetadata/v1/?Metadata-Flavor=Google, 任何人都知道如何绕过这个！ 谢谢！I have found a server side request forgery (SSRF) vulnerability in a website,
In the request body; there is a JSON Object called "html" which reflect in a PDF file with download link starts with https://storage.googleapis.com/../,
when I tried to change this HTML code with <iframe src="http://my-burp-collaborator.net> I could receive HTTP response from internal IP,
then I tried to put this src=http://metadata.google.internal/computeMetadata/v1/
I got a message inside the frame: "Missing required header: Metadata-Flavor",
which should be Metadata-Flavor: Google,
then I tried many methods like, <meta name='Metadata-Flavor' content='Google'>, http://metadata.google.internal/computeMetadata/v1/?Metadata-Flavor=Google,
Any one have an idea how to bypass this!
Thanks!
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论