墨者学院-X-Forwarded-For注入漏洞实战

最新推荐文章于 2025-05-30 07:05:10 发布

Start&&Over

最新推荐文章于 2025-05-30 07:05:10 发布

阅读量6.5k

点赞数

CC 4.0 BY-SA版权

分类专栏： CTF 文章标签： php web安全安全 sql

本文链接：https://blog.csdn.net/weixin_42939822/article/details/123777312

本文探讨了一种特殊的SQL注入方式，通过X-Forwarded-For（XFF）头来利用服务端获取客户端IP的漏洞。作者通过分析登录表单，发现了XFF字段在服务端的使用，并利用burpsuit进行通信拦截，验证了XFF可以被伪造并作为注入点。随后，使用sqlmap对数据库、表、列和列值进行爆破，揭示了数据库名、表名、列名以及敏感数据，最终成功获取登录凭据。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

继续研究SQL注入相关题型！！！今天的SQL注入题目摆脱了既往的SQL语句，主要考查的是HTTP请求头中XFF的伪造和应用，是一道借用XFF来爆破数据库、表、列以及列值的题目！
附上题目链接：https://www.mozhe.cn/bug/detail/QWxmdFFhVURDay90L0wxdmJXSkl5Zz09bW96aGUmozhe
首先，打开题目，映入眼帘的是一个登录表单，先输入账户为admin，密码为admin进行登录尝试，出现了alert弹窗，仔细观察弹窗会发现类似IP地址格式的110.243.1.106数据存在，初步猜测这是服务端记录并显示了客户端的IP地址。
图1 表单登录尝试
图2 出现alert弹窗
服务端获取客户端IP地址，常见的三种方法：
（1）remote_addr：指的是当前直接请求的客户端IP地址，存在于TCP请求中，是HTTP协议传输的时候自动添加，不受请求头header的控制。因此，当客户端与服务器之间不存在任何代理的时候，通过remote_addr获取客户端IP地址是最准确，也是最安全的，重点强调的是remote_addr是不可伪造的。
（2）X-Forwarded-For：即XFF，是代理服务器在请求转发时添加上去的。如果客户端和服务器之间存在代理服务器，那么通过remote_addr获取的IP就是代理服务器的地址，并不是客户端真实的IP地址。因此，需要代理服务器（通常是反向代理服务器）将真实客户端的IP地址转发给服务器，转发时客户端的真实IP地址通