performing-ssrf-vulnerability-exploitation
Ajuda seu agente a testar vulnerabilidades de 'Server-Side Request Forgery' (SSRF). Ele verifica se aplicações web podem ser forçadas a fazer requisições indesejadas.
O que ela faz
Esta ferramenta ajuda a verificar se um site pode ser enganado para acessar informações internas ou de nuvem. Ela tenta acessar endereços especiais que podem revelar dados sensíveis.
Quando usar
- ✓Ao testar a segurança de um site com permissão.
- ✓Ao investigar um possível vazamento de dados.
- ✓Ao verificar se um site está bem protegido contra acessos indevidos.
Exemplo do que pedir para a IA
“Verifique se o site 'exemplo.com' pode ser explorado para acessar dados da AWS.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta envia requisições para endereços que podem expor informações. Ela tenta acessar endereços de nuvem, serviços internos e usa diferentes protocolos para encontrar falhas.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill performing-ssrf-vulnerability-exploitationOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/performing-ssrf-vulnerability-exploitation/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Quando Usar
- Ao realizar avaliações de segurança que envolvam a exploração de vulnerabilidades SSRF.
- Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
- Ao realizar testes ou atividades de auditoria de segurança agendadas.
- Ao validar controles de segurança por meio de testes práticos.
Pré-requisitos
- Familiaridade com conceitos e ferramentas de operações de segurança.
- Acesso a um ambiente de teste ou laboratório para execução segura.
- Python 3.8+ com as dependências necessárias instaladas.
- Autorização apropriada para quaisquer atividades de teste.
Instruções
- Instale as dependências:
pip install requests - Identifique parâmetros de URL na aplicação alvo que aceitam URLs ou nomes de host.
- Teste payloads SSRF:
- Metadados da nuvem:
http://169.254.169.254/latest/meta-data/ - Serviços internos:
http://127.0.0.1:port/,http://10.0.0.1/ - Manipuladores de protocolo:
file:///etc/passwd,gopher://,dict:// - Técnicas de bypass: Codificação de IP, DNS rebinding, redirecionamentos de URL.
- Metadados da nuvem:
- Analise as respostas em busca de divulgação de informações ou confirmação de acesso interno.
- Gere um relatório de avaliação de vulnerabilidade.
# For authorized penetration testing and lab environments only
python scripts/agent.py --target-url https://app.example.com/fetch?url= --output ssrf_report.json
Exemplos
SSRF de Metadados da AWS
GET /fetch?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/
Se a resposta contiver credenciais da AWS (AccessKeyId, SecretAccessKey), a SSRF é confirmada com impacto crítico.
Perguntas frequentes
O que é SSRF?
SSRF (Server-Side Request Forgery) é uma falha de segurança onde um atacante pode fazer o servidor web da vítima fazer requisições para outros servidores, potencialmente expondo dados internos.
Posso usar isso em qualquer site?
Não, você só pode usar esta ferramenta em sites onde tem permissão explícita para testar a segurança. Usar sem permissão é ilegal.
O que são 'endereços de nuvem'?
São endereços especiais usados por provedores de nuvem como AWS, Google Cloud e Azure para fornecer informações sobre a instância do servidor que está executando o código.
Detalhes
Descrição original do autor
Tests web application URL parameters for Server-Side Request Forgery by probing cloud metadata endpoints (AWS/GCP/Azure at 169.254.169.254), internal network services, and protocol handlers (file://, gopher://, dict://) using a Python script, including IP-encoding bypass and DNS rebinding checks. Use during authorized penetration testing to confirm SSRF in a URL-fetching parameter and generate a v
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #6151
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
django-security
Ajuda seu agente a implementar práticas de segurança em aplicações Django. Ele foca em autenticação, autorização e prevenção contra ataques comuns, garantindo um código mais seguro.
affaan-m/ECC
laravel-security
Ajuda seu agente a proteger aplicações Laravel contra ameaças. Implementa práticas de segurança para autenticação, autorização e prevenção de ataques comuns.
affaan-m/ECC
module-regression
Ajuda seu agente a gerenciar mudanças em projetos grandes. Garante que alterações em uma parte do código não quebrem outras partes.
affaan-m/ECC