* 起点：服务端代取 URL 的接口，目标地址可控 * 关键步：指向实例元数据服务读 IAM 临时凭证，调云 API 接管资源 * 终点：云角色凭证泄露，云账号 / 资源接管 * 最终定级：严重（云接管）；仅探到元数据路径、凭证不可用定高危观察项 ### 一、业务背景 云主机内部的链路本地地址 169.254.169.254 是实例元数据服务（IMDS），存放云角色临时凭证。Web 服务存在 SSRF 时代为请求该地址，即可读出临时凭证，进而以云角色身份调用云 API。本链专讲云元数据机制，与 E-04 泛指的内网探测分工，不重复展开内网组件。 ### 二、系统拓扑 * Web 服务：SSRF 代取入口。 * IMDS 169.254.169.254：实例内可达，存放角色临时凭证。 * 云 IAM：凭证对应的角色权限边界。 * 云资源：接管目标。 * 信任边界：元数据只对实例内可达，SSRF 把外部请求带到实例内。 ### 三、角色与账号 * Web 服务账号：发起代取请求。 * 云角色：元数据下发的临时凭证身份。 * 攻击者：借凭证调用云 API