CTF—攻防練習之HTTP—SQL注入(X-forwarded-For)

主機：192.168.32.152

靶機：192.168.32.162

 nmap,dirb掃ip，掃目錄

在後臺發現一個login，登陸界面

而後直接上掃描器AVWS，發現存在X—Forwarded—For類型的時間盲注

 

 那直接sqlmap

sqlmap -u "192.168.32.162"  --headers="X-Forwarded-For:* " --dbs --batch 時間型注入，爆出數據庫，表名，字段名，列名,admim和pwd

通過漫長的時間盲注後獲得admin，和password能夠登陸到服務中