墨者学院-X-Forwarded-For注入漏洞实战

这题怎么说呢，网上普遍的做法是当成xff来做，sqlmap直接爆破，这种方式还没有去尝试，但是难度不大，这里主要讲手工注入，对于sqlmap爆破的先不进行尝试。 开始注入： 一、审题 这题从题目，也可以看放包后的回显可以知道是http头的ip注入，尝试（题目有说）x-forwarded-for（这里的注入我很难主动想到，因为在原始的http头里没有x-forwarded-for，这题是题目有提醒）

>>阅读原文<<