ssrf
ssrf中的Url白名单检测的绕过一些应用程序只允许匹配上白名单范围内的输入，过滤器可能会在输入的开头或包含在输入中查找匹配项。您可以通过利用 URL 解析中的不一致来绕过此过滤器。URL 规范包含了许多在实现 URL 特定解析和验证时容易被忽略的特性： @的用法HTTP 基本身份认证特性允许 Web 浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式，例如：https://expected-host:fakepassword@evil-host，这里的@是主域名解析，即@符号后面直接跟域名，@符号前面的内容会被视为用户名，相当于以 expected-host:fakepassword 的用户名访问 evil-host，至于用户名是啥不重要，关键是@后面的才是解析的地址！ #的用法在 URL 中，#号后面的内容被称为片段标识符（fragment identifier），在客户端浏览器中，#及其后面的内容不会被发送到服务器。比如，访问http://example.com/page#fragment 时，浏览器只会向服务器发送...
