client_ip伪造注入看代码吧,这里的getip函数是获取Ip的,由于,client_ip和x_forwarded_for都可以伪造。在include/common.fun.php的106行我们继续跟踪一下getip()这个函数的应用。comment.php中的113行这里我们伪造下ip测试下。看看结果可以看到了么?已经是注入了问题这里的是报错是。。它已经单独写出报错的语句,以致我们不能利用报错语句,直接爆出用户名和密码。但是我们可以用盲注的方式进行来搞用户名和密码了。但是这样子太麻烦了。之前,我一直在想啊,想啊,用啥方法来注呢,注,注。。。。。。。毕竟人的思维太宽了。因为这是个inser