打卡（PHP入门&&SSRF漏洞）（笔记）

PHP入门 什么是PHP？

PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP语法学习了C语言，吸纳Java和Perl多个语言的特色发展出自己的特色语法，并根据它们的长项持续改进提升自己，例如java的面向对象编程，该语言当初创建的主要目标是让开发人员快速编写出优质的web网站。 PHP同时支持面向对象和面向过程的开发，使用上非常灵活。

经过二十多年的发展，随着php-cli相关组件的快速发展和完善，PHP已经可以应用在 TCP/UDP服务、高性能Web、WebSocket服务、物联网、实时通讯、游戏、微服务等非 Web 领域的系统研发。

PHP学习

PHP菜鸟教程

SSRF浅谈 SSRF的定义和成因

SSRF是一种由攻击者构造形成，由服务器端发起的一个安全漏洞，一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）

SSRF漏洞形成的原因大都是由于服务器提供了从其他服务器应用获取的功能且没有对目标的地址做过滤和限制。比如从指定URL地址获取网页文本内容，加载指定地址图片，下载等等。

SSRF的危害

内网探测

利用file协议读取本地文件等等

向内部任意主机的任意端口发送精心构造的payload，从而攻击内网的web应用，主要是使用get参数就可以实现的攻击（比如struts2，sqli等）

DOS攻击

SSRF代码层成因

 

 

 

SSRF漏洞的验证

1.排除法：浏览器查看源代码看是否在本地进行了请求

2.dnslog等工具进行测试，看是否被访问

一些绕过

1.加端口 127.0.0.1：80

2.短网址

3.指向任意的ip的域名xip.io

4.十进制转换  八进制转换  十六进制转换

5.@绕过

6.后面跟参数