[JarvisOj](Web)LOCALHOST

---

题目链接：

题目入口：http://web.jarvisoj.com:32774/

---

分析：

打开题目提供网址 , 发现提示 :

Paste_Image.png

这里 , 题目提示了只有localhost可以访问 , 这里原理如下 :
就是后台是如何判断客户端的IP地址呢 ?
PHP获取客户端IP地址
通过查询我们可以知道 , 一个比较通用的方法就是向HTTP请求头中添加参数 : X-Forward-For : 需要伪造的IP
例如 :

X-Forward-For : 127.0.0.1

这样就可以向服务器发送自己伪造的IP , 这个过程可以使用火狐的 Modify Header 插件完成 :

Paste_Image.png

Paste_Image.png

Paste_Image.png

然后刷新页面 , 即可拿到返回结果 :

Paste_Image.png

注 :
如果你知道了这个的原理 , 其实模拟浏览器发送请求就可以不需要利用别的工具 , 简简单单使用Python或者其他的语言或者工具都可以很轻松的达到我们的目的
使用nc自定义请求

---

答案：
PCTF{X_F0rw4rd_F0R_is_not_s3cuRe}

---

知识点：

1. HTTP协议