前言

做日志分析、WAF告警的时候，不少安全同学会遇到 PENTEST-MARKER-OUTURL 这个标记，很多人不清楚它代表什么，容易和普通外联、SSRF混淆。
它不是传统漏洞Payload，而是红队/渗透测试框架自带的外联标记，用来标记SSRF、出网回调、DNSlog、反弹链路，是红队横向、打SSRF时留下的特征指纹。
一旦日志抓到这个标记，说明已经有人在尝试利用你的服务器向外发起请求。

一、什么是 PENTEST-MARKER-OUTURL

PENTEST-MARKER-OUTURL 是渗透脚本、红队工具自定义的标记字段，一般放在：

• HTTP请求头（Header）
• GET/POST参数里
• 请求Body、Cookie
• 回调URL的参数值

作用：
红队在做SSRF漏洞验证时，让目标服务器访问攻击者的回调地址，带上这个标记。
攻击者的回连服务器收到请求，看到这个标记，就能区分：这个外联请求，来自哪一段Payload、哪个漏洞点，方便红队整理测试结果。
简单一句话：它是红队给自己的回调流量打的"标签"，正常业务、普通用户请求绝对不会携带该标记。
区分重点：

•  普通SSRF：只有单纯访问外部地址，无额外标记
•  PENTEST-MARKER-OUTURL：SSRF外联 + 带上固定标记指纹，属于标准化的红队测试流量

二、流量特征，快速识别标记

抓到下面任意特征，基本就是该类渗透流量：

1. 请求内容明文包含字符串 PENTEST-MARKER-OUTURL；
2. 携带该标记的请求，目标大多是回调域名、DNSlog平台、带随机密钥的回连地址；
3. UA大多是python-requests、curl、go-http-client等脚本工具UA；
4. 请求路径多为图片代理、文件预览、接口转发、跳转参数（open redirect）；
5. 高频特征：单次请求，由服务器后端发起向外的HTTP请求，不是前端浏览器直接访问。

举一个典型示例：

GET /proxy?url=https://xxx.dnslog.cn?tag=PENTEST-MARKER-OUTURL
或者自定义Header：

PENTEST-MARKER-OUTURL: https://attacker-callback-domain

三、实战：3种方式识别和排查

方式1：Nginx/Apache日志检索

直接在服务器日志过滤关键词，导出对应的源IP、请求路径：

# Nginx日志检索
grep "PENTEST-MARKER-OUTURL" /var/log/nginx/access.log
拿到日志后重点记录：访问源IP、触发的接口、外联目标地址、请求时间。

方式2：Wireshark抓包识别

过滤语句：

http contains "PENTEST-MARKER-OUTURL"
抓到数据包，看两点：

• 是前端请求，还是后端服务主动发起的SSRF外联；
• 查看外联的目标域名，判断是否DNSlog、恶意回调站。

方式3：WAF/态势平台检索

在WAF、EDR、SOC平台，新建内容检索规则：匹配请求全部内容（header+body+参数）包含 PENTEST-MARKER-OUTURL，单独归类告警。

四、风险说明，别忽视这个告警

很多运维觉得只是一个标记而已，危害不大，这里要提醒：

1. 出现该标记=攻击者已经找到一处可SSRF的接口；
2. 攻击者可以借助这个SSRF访问内网资产、云元数据地址、内网数据库；
3. 批量扫描阶段，红队会批量投放带该标记的Payload，批量探测业务代理、预览、跳转接口；
4. 合法渗透测试（签合同）会带这类标记；无授权出现该标记，属于未授权渗透，风险很高。

重要区分：

• 授权红队：提前报备，这类标记是约定的测试指纹；
• 未授权黑客：携带该标记，说明正在踩点、挖SSRF，下一步极有可能内网横向。

五、防护方案，从告警到落地

1. WAF直接匹配拦截（优先）

新建自定义规则：请求内容包含 PENTEST-MARKER-OUTURL，动作：拦截 + 记录日志、告警。

优点：直接掐断测试标记流量，同时保留攻击源IP用于溯源。

2. 修复底层SSRF漏洞（根治）

• 所有代理、预览、跳转接口，做域名白名单；
• 禁止访问内网IP、169.254云元数据、本地回环；
• 对传入的url参数做严格解析校验，不要直接转发；

3. 告警联动

日志命中标记之后，自动推送告警给运维，同步拉黑攻击源IP，短期封禁。

4. 区分误报

正常业务、第三方接口、搜索引擎、用户访问，不会自带这个字符串，几乎不存在误报。

六、运维排查流程总结（标准链路）

1. WAF/日志发现 PENTEST-MARKER-OUTURL 标记 → 告警；
2. 检索日志，拿到攻击IP、触发接口、外联回调地址；
3. 判断：是否是签约授权的渗透测试；
4. 未授权：拉黑IP、临时下线风险接口、修复SSRF；
5. 授权测试：同步红队，确认测试范围，后续统一复测。

七、避坑提醒

误区1：只拦截标记字符串就完事
攻击者可以修改标记名称，核心漏洞是SSRF接口，标记只是指纹；标记能绕过，漏洞还在。
误区2：看到标记直接判定是黑客
提前和安全服务商沟通，很多正规红队项目会统一带上这类自定义标记，方便区分测试流量。
误区3：只看前端访问日志
SSRF是服务器后端向外发起请求，前端日志看不到，必须看后端服务、代理服务器的出网日志。

结尾

PENTEST-MARKER-OUTURL 本身没有攻击性，但它是一个非常明确的信号：你的业务存在可被利用的SSRF/代理接口。
它是红队留给运维的"提示标签"，越早识别、越早修复，就能阻止攻击者向内网进一步探测。

关于墨者安全
墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务，全网第一款指纹识别技术防火墙，自研的WAF指纹识别架构，提供任意CC和DDoS攻击防御