继续研究SQL注入相关题型!!!今天的SQL注入题目摆脱了既往的SQL语句,主要考查的是HTTP请求头中XFF的伪造和应用,是一道借用XFF来爆破数据库、表、列以及列值的题目!
附上题目链接:https://www.mozhe.cn/bug/detail/QWxmdFFhVURDay90L0wxdmJXSkl5Zz09bW96aGUmozhe
首先,打开题目,映入眼帘的是一个登录表单,先输入账户为admin,密码为admin进行登录尝试,出现了alert弹窗,仔细观察弹窗会发现类似IP地址格式的110.243.1.106数据存在,初步猜测这是服务端记录并显示了客户端的IP地址。
服务端获取客户端IP地址,常见的三种方法:
(1)remote_addr:指的是当前直接请求的客户端IP地址,存在于TCP请求中,是HTTP协议传输的时候自动添加,不受请求头header的控制。因此,当客户端与服务器之间不存在任何代理的时候,通过remote_addr获取客户端IP地址是最准确,也是最安全的,重点强调的是remote_addr是不可伪造的。<
墨者学院-X-Forwarded-For注入漏洞实战
最新推荐文章于 2024-07-16 00:04:28 发布
![](https://img-home.csdnimg.cn/images/20240711042549.png)