CTF—攻防练习之HTTP—SQL注入(X-forwarded-For)

时间 2019-12-12

标签 ctf 攻防练习 http sql 注入 forwarded 栏目 HTTP/TCP 繁體版

原文原文链接

主机：192.168.32.152sql

靶机：192.168.32.162数据库

nmap,dirb扫ip，扫目录blog

在后台发现一个login，登陆界面ip

而后直接上扫描器AVWS，发现存在X—Forwarded—For类型的时间盲注登录

那直接sqlmap后台

sqlmap -u "192.168.32.162" --headers="X-Forwarded-For:* " --dbs --batch 时间型注入，爆出数据库，表名，字段名，列名,admim和pwdmap

通过漫长的时间盲注后获得admin，和password能够登陆到服务中im