* 起点：服务端代取 URL 的预览 / 抓取接口 * 关键步：指向回环与内网探测，读云元数据取得临时凭证 * 终点：云角色临时凭证泄露，云账号接管。仅内网探测为低危，不定严重 * 最终定级：严重（终点为云账号接管）。只读到内网服务指纹定低危，条件不足标待定 ### 一、业务背景 图片预览、链接抓取类接口由服务端代为请求给定 URL。若服务端不对目标地址做白名单约束，攻击者可让服务端请求回环、内网地址与云元数据端点。本链默认终点是借云元数据拿到临时凭证实现云接管。单纯扫到内网服务不构成严重。 ### 二、系统拓扑 * Web 服务：SSRF 入口，代取 URL。 * 内网服务：默认信任 Web 服务、常无鉴权的缓存 / 存储组件。 * 云元数据端点 169.254.169.254：实例内可访问，存放云角色临时凭证。 * 信任边界：内网与元数据面对公网入口不可见，只对 Web 服务可达。 ### 三、角色与账号 * Web 服务账号：发起代取请求的身份。 * 内网无鉴权服务：被探测与利用的中间目标。 * 云角色：元数据中下发临时凭证对应的云身份，接管终