BUUCTF__[极客大挑战 2019]Http_题解

前言

首先打开是挺好看的一个前端页面。介绍了一个安全技术小组。
做题第一步，当然是F12大法。
于是发现Secret.php ,先访问，提示你不是来自https://www.Sycsecret.com
当然，题目是http ，很容易想起HTTP协议中的HTTP报文 header ，请求头和响应头。也就是有一些协议内容。
比如上面提示不是来自https://www.Sycsecret.com，就可以在header中添加上 Referer:https://www.Sycsecret.com ，来伪造访问来源，Referer协议就是告诉服务器我从哪里来。所以抓包修改。
添加后访问，提示请使用 Syclover 浏览器，这就可以想到用User-Agent协议来伪造访问工具为 Syclover 浏览器，这个协议就是告诉服务器我是用什么访问的 .修改 User-Agent 为User-Agent: Syclover 。再次提示No!!! you can only read this locally ，你只能在本地阅读
只能在本地，我们可以伪造本地ip 127.0.0.1,所以我们可以利用X-Forwarded-For协议来伪造只需要在 header 添加 X-Forwarded-For:127.0.0.1，再次访问，这时得到flag
到这里结束，利用了伪造请求头来欺骗服务器获得flag，利用了其中的三种协议。