Подделка серверных запросов, эксплуатация Blind SSRF

Отличный разбор и примеры

Спасибо за ссылки, для себя нашел что PHP-шные флаги фильтрации IP пропускают IPv6/IPv4 Address Embedding

filter_var('127.0.0.1', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) // return false

filter_var('0000::127.0.0.1', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) // return true

filter_var('0:0:0:0:0:ffff:127.0.0.1', FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) // return true