墨者学院-HTTP头注入漏洞测试(X-Forwarded-for)-手工注入

一、审题

这题从题目，也可以看放包后的回显可以知道是http头的ip注入，尝试（题目有说）x-forwarded-for（这里的注入我很难主动想到，因为在原始的http头里没有x-forwarded-for，这题是题目有提醒）

二、判断类型

使用brupsuit抓包，repeater后添加XFF头 ——X-Forwarded-For:
通过修改X-Forwarded-For:值来找出注入点。
当值为"(双引号)时，X-Forwarded-For:" 不报错；
当值为‘’(单引号)时，X-Forwarded-For:’ 报错； (测试后，使用#，–+，%23都不可以注释掉后面的 ’ )

可知XFF头存在注入点。接下来判断注入类型。

既然不可以注释点后面的 ’ ，那就在加一个点 ’ 使其闭合。
通过1=1和1=2明确可以知道不是数字型注入，应该是字符型注入
（由此可知，一道sql注入题可能是多个类型注入结合起来的，要多方面尝试。）
由此采用字符型注入：
X-Forwarded-For:127.0.0.1’ [在这里写语句] and ‘1’='1
这里引号’ 前面的127.0.0.1可以随便写，参考网上大佬的写法，就这样写了，也可以不写，如第一张图所示