CTF—攻防练习之HTTP—SQL注入(X-forwarded-For)

本文转载自查看原文 2019-06-19 12:39 903 CTF—攻防练习

主机：192.168.32.152

靶机：192.168.32.162

nmap,dirb扫ip，扫目录

在后台发现一个login，登录界面

然后直接上扫描器AVWS，发现存在X—Forwarded—For类型的时间盲注

那直接sqlmap

sqlmap -u "192.168.32.162" --headers="X-Forwarded-For:* " --dbs --batch 时间型注入，爆出数据库，表名，字段名，列名,admim和pwd

经过漫长的时间盲注后得到admin，和password可以登录到服务中

本站转载的文章为个人学习借鉴使用，本站对版权不负任何法律责任。如果侵犯了您的隐私权益，请联系本站邮箱yoyou2525@163.com删除。

猜您在找 CTF—攻防练习之HTTP—SQl注入（get） CTF—攻防练习之HTTP—SQL注入(SSI注入) [ 墨者学院 ] SQL注入 —— X-Forwarded-For注入漏洞实战 X-Forwarded-For注入漏洞 CTF—攻防练习之HTTP—命令注入 HTTP 请求头中的 X-Forwarded-For HTTP 请求头中的 X-Forwarded-For X-Forwarded-For注入漏洞过程记录 HTTP头注入漏洞测试(X-Forwarded-for)--手动注入 HTTP 请求头中的 X-Forwarded-For