利用X-Forwarded-For进行sql注入

由于系统一般会采用String ip = request.getHeader("X-Forwarded-For");进行获取ip，然后注入者就可以通过X-Forwarded-For请求头信息就行伪造ip，当然了这个ip也可以是一些注入语句，如下

X-Forwarded-For:payload';WAITFOR DELAY '0:0:5'--

String sql = "select * from table where ip = '"+ip+"'";

那么我们得到的sql语句就会是这样

select * from table where ip = payload';WAITFOR DELAY '0:0:5'--'

这样就容易被人进行sql攻击，快看一下自己的项目里面是不是有这样的获取ip的方式，有的话如果sql没有预编译，那么肯定可以进行sql注入攻击