### ssrf漏洞一般存在于以下几种web功能： 1、在线分享：通过URL地址分享网页内容 2、在线识图 3、在线翻译：百度翻译，有道翻译 4、各大网站订阅 5、图片加载与下载：通过URL地址加载或下载图片 6、图片、文章收藏功能 7、接收邮件服务器地址的邮件系统 8、调用URL的功能 9、文件处理，如ImageMagick，xml 10、请求远程服务器资源，远程URL上传，静态资源图片文件等 11、数据库内置功能，比如mongodb的copyDatabase函数 12、从URL关键字中寻找：share，url，link，src，source，target，sourceURl，imageURL，domain... ### 漏洞验证方式： 1、右键图片在新窗口打开，如果浏览器地址显示为 www.xxx.com/xx.jpg 类似格式的，说明不存在ssrf漏洞，但是如果资源地址类似 http://www.xxx.com/1.jsp?image= 的格式就有可能存在漏洞。 2、另一种方式是使用抓包工具burp fiddler来判断，SSRF漏洞是构造服务器发送请求的安全漏洞，所以就可以通过抓包分析请求是否有服务端发起的来判断是否存在漏洞。 下图转自土司：  ### 防御措施 过滤返回的信息，甚至必要情况下不返回 限制http端口，仅可使用http https 检查IP是否为内网IP，进行黑名单过滤 禁止不需要的协议，gopher,ftp,file协议等 参考： [谈一谈如何在Python开发中拒绝SSRF漏洞](https://www.leavesongs.com/PYTHON/defend-ssrf-vulnerable-in-python.html)