墨者X-Forwarded-For注入漏洞实战

思路：反正首先按照正常测sql注入点，我们都要对各个地方试试，什么看源码找可能存在的注入点，或者遇事不觉弱口令啥的，但是既然题目是XFF注入，那基本就是提交会对ip检测，因而存在注入点

总结：注入点的掌握，sqlmap抓包的使用和技巧（*），细心

ps：为什么不手敲代码，方便大伙复制命令，绝对不是因为懒，是因为自己敲一遍更有感觉，嗯嗯，没错！（我他喵敲了好多遍）

admin/admin登入发现确实存在对ip的检测

然后就是burpsuite抓包改X-Forward-For字段

 发现确实存在注入点（这里我们就要长个记性了，xxf注入点的存在）

 然后就是抓包改字段，这次改成     X-Forwarded-For：*   ，因为我们要用sqlmap去一把梭，找到注入点用 *标注方便sqlmap直接找到

然后就是把这个包内容复制保存为txt的格式这里我是改成了test.txt

 然后就是利用sqlmap咯，记得这个要 y（这个就是sqlmap在问是否把这个认为是注入点）

找到库了

接着找表

 找到了，然后就是找字段，俩个表找一个里面肯定有我们要的东西，我很幸运的选择了表logins发现没用（明明从表名看上去更像在这里  ：（   )，好的所以我们现在看user

 

 然后就是都看passwor和username咯