Secure Code Warrior Java基础包SSRF题访问/vault接口失败咨询

你遇到的访问失败问题，本质是没摸清楚Java URL解析逻辑和题目校验规则的匹配关系，按下面的步骤排查即可：

• 首先补全最容易漏的端口参数
  绝大多数人第一次失败都是直接传http://127.0.0.1/vault，这个请求默认会打到80端口，但题目里的靶场服务根本不会监听默认80端口。先从题目场景给出的正常访问地址里找服务监听端口，比如示例地址是http://scw-challenge:8080/ssrf/test，那端口就是8080，构造payload的时候必须把端口带上，基础格式为http://127.0.0.1:<实际端口>/vault。
• 注意IPv6地址的正确格式
  如果你试IPv6环回地址::1，必须给IP套上方括号，正确格式是http://[::1]:<实际端口>/vault。不加方括号的话Java的URL类会把::1识别成路径片段，根本不会把它解析为主机地址，必然请求失败。
• 避开常见的校验误拦截
  题目里的「IP必须以127.0或::1开头」规则，一般分两种实现，对应不同注意点：
  • 如果是直接对传入的URL字符串做startsWith()前缀匹配：不要在http://和127.0/[::1]之间加任何冗余内容，包括认证字段（比如http://abc@127.0.0.1这种payload会因为开头不是127.0被直接拦截）、多余斜杠、编码字符，保证http://之后紧跟127.0或者[::1]即可通过前缀校验。
  • 如果是对解析出的主机IP做前缀匹配：不要用127.0.0.1之外的进制转换绕过（比如十进制整数IP、八进制IP），这类IP解析后开头不会是127.0字符串，会直接被规则拦截。如果遇到规则额外拦截127.0.0.1完整串的情况，直接换127.0段的其他环回地址即可，比如127.0.0.2、127.0.1.1，这类地址全段都属于本地环回，实际请求会打到本地服务，同时满足IP以127.0开头的校验规则。
• 最后检查路径正确性
  不要给/vault加多余的前缀或者后缀，确认请求方法和题目要求一致（部分场景下/vault只接受GET请求，POST请求会返回405）。

内容的提问来源于stack exchange，提问作者shinybolt9