URL验证绕过速查表新增疯狂载荷

我们URL验证绕过速查表的力量源于网络安全社区的贡献，今天的更新也不例外。我们兴奋地推出一个新的改进版IP地址计算器，灵感来自@e1abrador的Encode IP Burp Suite扩展及更多内容。

新型IP验证绕过技术

除了现有的IPv4地址表示方式外，我们新增了以下新格式，支持Chrome、Firefox、Safari浏览器。例如，云元数据IP地址169.254.169.254可以通过以下方式表示：

169.254.43518：部分十进制（B类）格式，将IP地址的第三和第四部分组合成一个十进制数
169.16689662：部分十进制（A类）格式，将第二、第三和第四部分组合
0xA9.254.0251.0376：混合编码：IP地址的每个段可以用不同格式表示：十六进制、十进制或八进制。为保持工具高效，我们不生成所有可能组合，而是将第一段转换为十六进制，第二段为十进制，最后两段为八进制

速查表现在还支持IPv6地址。当有效IPv6地址输入攻击者主机名时，词表将更新为地址的扩展形式。如果IPv6地址包含嵌入的IPv4地址，速查表将提取它并生成所有前述格式。此行为可在高级设置中禁用。

此外，您可以使用特殊编码对结果IP格式进行编码，如圆圈拉丁字母和数字、全角形式，甚至七段显示字符。要应用这些，打开高级设置，转到规范化设置，并选择一个或多个编码选项。

用户信息解析差异

我们向速查表添加了一个有趣的新载荷，针对用户信息解析中的差异，由@SeanPesce提交：

1

https://example.com[@attacker.com

用户信息段中的“左方括号”字符[可能导致Spring的UriComponentsBuilder返回一个与主流浏览器解释不同的主机名值。这种差异可能导致漏洞，如开放重定向或SSRF。在使用我们的速查表测试此载荷时，我还能够复现一个在同一更新中修补的单独漏洞。这是我们的URL验证绕过速查表如何用于识别实际漏洞的完美示例。

CORS验证绕过速查表更新

我们最近更新了CORS绕过速查表，新增了技术，包括与localhost正则实现相关的边缘案例和Safari特定的域分割攻击，由@t0xodile提交。这些更新解决了攻击者使用特殊字符操纵域以绕过验证检查的场景。示例包括：

1
2
3


https://example.com.{.web-attacker.com/
https://example.com.}.web-attacker.com/
https://example.com.`.web-attacker.com/

确保在X（前Twitter）上关注我们@PortSwiggerRes，以了解最新更新和新攻击技术。

非常感谢网络安全社区持续更新URL验证绕过速查表的最新技术。如果您想贡献，请随时提出问题或提交PR。