[极客大挑战 2019]Http http请求头XFF欺骗

1.　　题目第一个界面Syclover建的网站，很牛逼

 

没有找到有用信息后，抓包分析。

发现Secret.php

直接访问一下

 

 

 

 

 

 题目为http，猜测这个页面需要更改请求头，使得访问来源为https://www.Sycsecret.com

将请求报文发送到bp的repeater。

构造请求头，go

 

 

 提示

 

 

 

更改User-Agent，go

 

 

 提示需要本地访问。

构造http请求头的XFF

 

 得到flag