从翻邮箱发现钓鱼站到钓鱼系统通杀注入
内容提要
文章讲述作者发现钓鱼网站后，通过X-Forwarded-For头注入绕过防护，成功获取数据库账号密码，并发现该漏洞可通杀多个同模板站点。文中还提及后台注入、WAF绕过技巧及工具使用，最终提醒此类攻击的普遍性。
延伸解读
X-Forwarded-For注入的隐蔽性
文章展示了通过X-Forwarded-For头进行SQL注入的案例。该头通常用于传递客户端真实IP，但若服务器未严格过滤，攻击者可构造恶意payload。相比User-Agent等常见注入点，X-Forwarded-For更易被忽视，且能绕过部分WAF。这提醒开发者需对所有请求头进行安全校验，而不仅是参数。
同模板站点的通杀风险
文中指出，同一套代码模板的多个站点存在相同漏洞，导致一次攻击可批量利用。这反映了供应链或模板复用的安全隐患。开发者在使用开源或共享模板时，应确保其安全性，并及时更新补丁。安全测试也应覆盖所有使用该模板的站点，避免一处漏洞影响全局。
WAF绕过的常见手法
文章提及使用长注释和分块传输解码插件绕过云锁WAF。长注释可混淆检测规则，分块传输则利用HTTP协议特性拆分payload。这些手法在实战中常见，说明WAF并非万能。安全团队应定期评估WAF有效性，并结合其他防护措施，如输入过滤和参数化查询，从根源防御注入。
Q&A
如何通过X-Forwarded-For头对钓鱼网站进行SQL注入？
在请求头中添加X-Forwarded-For字段，并构造类似`X-Forwarded-For:'AND(SELECT 05 FROM (SELECT(5)))sqlpayload) -- +`的注入语句，然后使用sqlmap等工具进行测试。
钓鱼网站后台登录框存在什么漏洞？
后台登录框存在POST注入，且用户名处单引号会报出路径，若配合DBA权限可以getshell，但该站点不是DBA。
为什么sqlmap能绕过该钓鱼网站的防护？
因为网站只禁止了直接访问，但没有直接封禁IP，且对X-Forwarded-For头未做过滤，导致sqlmap可以继续运行。
该钓鱼网站漏洞是否影响其他站点？
是的，该漏洞是通杀的，使用相同模板的其他站点也存在同样的问题。
在测试钓鱼网站时使用了哪些工具？
使用了sqlmap、分块传输解码插件和sqlmap插件，以及kali最新版系统。
如何绕过云锁WAF进行注入？
可以使用长注释来绕过云锁WAF。
