SSRF (服务端请求伪造)

"抓取远程 URL 预览" 功能。vuln 模式不限制目标(可探测内网 / 云元数据)。safe 模式仅允许 http/https 且禁止内网地址。

测试 payload: http://127.0.0.1:80/ http://169.254.169.254/latest/meta-data/ file:///etc/passwd gopher://127.0.0.1:3306/_

本靶场仅用于测试 你自己的 WAF(Cloudflare / JANUSEC 派生)的拦截与告警能力。请只在你拥有或获得书面授权的环境中使用。

切换模式:环境变量 WAF_TESTBED_MODE=vuln(默认,含漏洞) 或 safe(加固对照组)。