靶场科普 | SQL注入之XFF注入

发表时间:2022-06-20 16:39

本文由“东塔网络安全学院”总结归纳


靶场介绍:SQL注入之XFF注入


今天,给大家介绍一下“东塔攻防世界”其中的一个靶场:“SQL注入之XFF注入”。

一、实验介绍
1.漏洞简介

1)SQL注入原理

SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序,这些输入大都是SQL语法里的一些组合,执行SQL语句进而执行攻击者所要的操作,其主要原因是程 序没有细致地过滤用户输入的数据,致使非法数据侵入系统;

2)XFF注入的概念
XFF,是X-Forwarded-for的缩写,属于SQL注入的一种,该注入原理是通过修改X-Forwarded-for头对带入系统的dns进行sql注入,达到欺骗服务器执行恶意的SQL命令的效果,从而可以得到网站的数据库内容。


2.XFF的危害

1)数据库信息泄漏:数据库中存放的用户的隐私信息的泄露;

2)网页篡改:通过操作数据库对特定网页进行篡改;

3)网站被挂马,传播恶意软件:修改数据库一些字段的值,嵌入网马链接,进行挂马攻击;

4)数据库被恶意操作:数据库服务器被攻击,数据库的系统管理员帐户被窜改;

5)服务器被远程控制,被安装后门。经由数据库服务器提供的操作系统支持,让黑客得以修改或控制操作系统。

二、实验目的

1.掌握SQL注入的基本原理;

2.了解XFF注入的危害;

3.了解XFF注入防御方法。

三、实验步骤

1.打开实验连接,查看实验环境,注册一个用户;

2.随便输入用户名密码登录,提示有ip信息,判断是否存在x-forwarded-for注入;

3.使用burpsuit抓包,添加关于x-forwarded-for的一些字段,根据解题思路进行实操。

四、防御方式

1.过滤http头中的X-Forwarded-for header中的内容,不允许其插入敏感字符,过滤字符参考sql注入修复方案;

2.过滤一些敏感字符,如select等。