### ① 情报卡片 靶场环境 K8S-TARGET-13，Pod 内存在可被控制服务端地址的请求点（服务端按需取用户给的 URL），运行在云厂商虚拟机上，环境脱敏。 ### ② 攻击面判断 SSRF 让 Pod 内请求打到本不可直达的内部地址，云元数据服务地址 `169.254.169.254`（保留段占位，本册不提供获取临时 Token 的具体请求步骤）是云主机内网元数据入口。缺陷在服务端未限制出站目标。 ### ③ 第一次试探 用无害内网地址验证服务端是否真的代发请求并回显，先确认 SSRF 成立，不直接请求元数据。 ### ④ 真假阳性递进校验 排除伪 SSRF：地址被过滤/无回显为不成立。确认服务端真的发起出站连接才可判真，再区分元数据是否开放、是否要求版本头，不在此展开取凭证步骤。 ### ⑤ 完整链路拆解 失陷 Pod 的 SSRF 点 → 服务端代发请求到内网（元数据地址为保留段占位）→ 若元数据开放可获取云身份临时凭证（步骤从略）→ 用云凭证操作云资源，从集群横向到云账号。SSRF 是桥，云凭证才是横向到云的弹药。 ### ⑥ 底层溯源 服务端经