因为是 HTTP Header 注入,所以决定简单粗暴的使用 -r 参数测试有无注入。 用burp 代理截包保存成 req.txt ,内容如下: 1 2 3 4 5 6 7 8 9 GET/index.php?do=login HTTP/1.1 Host: localhost User-Agent: Mozilla/5.0(Windows NT6.1; WOW64; rv:46.0) Gecko/20100101Firefox/46.0 Accept: text/html,...