BUUCTF--[极客大挑战 2019]Http

题目：

burp抓包试试；；

 

这里有个Secret.php，访问后：

 

这里在burpsuit里面添加Referer

 

 然后send to repeater，试着go修改后的网站：

 

 让你使用Syclover浏览器，这里只需要修改User—Agent，就可以伪造Syclover头，然后浏览器回应：

 

 “你不能本地地读取这个”，所以这个时候再添加一个本地地址：X-Forwarded-For 127.0.0.1,再访问flag就出来了；