資源描述：
《http頭注入的發(fā)現(xiàn)和工具化利用》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在應(yīng)用文檔-天天文庫。
1、目前市面上web漏掃均可以輕易的檢測出以GET或POST方式傳參的sql注入點(diǎn)，在實(shí)際測試過程中，筆者發(fā)現(xiàn)多數(shù)漏掃檢測HTTP頭注入問題的能力還不是太理想，這里分享下對(duì)于HTTP頭注入的發(fā)現(xiàn)和利用過程，歡迎各位大牛批評(píng)指正。0x01、HTTP頭注入的發(fā)現(xiàn)推薦使用安裝了ModifyHeaders插件的火狐瀏覽器對(duì)目標(biāo)站點(diǎn)進(jìn)行信息收集，該插件可以自定義HTTP頭信息，截圖如下：界面很簡單，其中selectaction下拉單中的三個(gè)選項(xiàng)中modify比add優(yōu)先級(jí)高，filter為過濾頭字段操作，這里以新增http頭字段X-Forwarded-For為例，下圖紅框中最
2、前面選擇add，緊跟著寫入X-Forwarded-For，然后輸入自定義的數(shù)值：我這里輸入“x-for';">xxoo
