实验：基于白名单的输入过滤器SSRF

1. 访问产品，单击“支票库存”，拦截Burp套件中的请求，并将其发送到Burp Repeater。
2. 更改URLStockapi.参数到http://127.0.0.1//并观察到应用程序正在解析URL，提取主机名，并针对白名单验证。
3. 将URL更改为http：//username@stock.weliketoshop.net/并观察到这是接受的，表示URL解析器支持嵌入的凭据。
4. 附加A.＃到用户名并观察到现在拒绝URL。
5. 双URL编码＃到％2523.并遵守极其可疑的“内部服务器错误”响应，指示服务器可能已尝试连接到“用户名”。

6. 要访问管理员接口并删除目标用户，请将URL更改为：

   http：// localhost：80%2523@stock.weliketoshop.net/admin/delete？用户名= carlos

Rana Khalil.

Michael Sommer（没有音频）