基本介绍
HTTP 请求标头参数可用于执行HTTP 中可用的常见参数，因为它们可以添加、删除、修改以及带入数据库以供后台查询。标题是：
用户代理：允许服务器识别客户正在使用的操作系统和浏览器版本（许多有大量数据的网站都会记录客户正在使用的操作系统或浏览器版本），保存在数据中）。
Cookie：网站在您的本地设备上存储的数据（通常是加密的），用于识别您的身份并跟踪您的会话。
X-Forwarded-For：简称XFF 标头，代表客户端为HTTP 请求者的真实IP（通常某些网站的防注入功能会记录请求者的真实IP 地址和数据库）或特定文件（假冒的）可以通过改变XXF头来实现IP]）
客户端IP：同上
引荐来源网址：浏览器告诉网络服务器哪个页面链接到您。
Host：客户端指定要访问的WEB服务器的域名/IP地址和端口号（我自己没有遇到过，但是如果你有真实的案例最好记下来）
头部注入
User-Agent注入
漏洞查询技巧
Black Box：检查User-Agent是否可控，判断User-Agent是否插入数据库，如：后台登录日志信息显示功能。
白盒：检查用户代理如何获取以及是否与数据库进行交互（增、删、改等操作）。
灰盒：黑盒搜索功能点，白盒进行审计，最终确定攻击链并实施攻击测试。
后台程序代码
下面我们使用Less-18作为演示示例。程序后台代码为：
!DOCTYPE html PUBLIC \’-//W3C//DTD XHTML 1.0
#【漏洞挖掘】——119以及上面介绍HTTP头注入的相关内容来源网仅供参考。相关信息请参见官方公告。
原创文章，作者：CSDN，如若转载，请注明出处：https://www.sudun.com/ask/92561.html
