CTF中HTTP 扩展头部中伪造ip

X-Forwarded-For 是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP 请求端真实 IP。

X-Forwarded-For 请求头格式：    X-Forwarded-For: client, proxy1, proxy2

可见X-Forwarded-For内容是由「英文逗号 + 空格」隔开的多个部分组成，最开始的是离服务端最远的设备 IP，然后是每一级代理设备的 IP。

如果一个 HTTP 请求到达服务器之前，经过了三个代理 Proxy1、Proxy2、Proxy3，IP 分别为 IP1、IP2、IP3，用户真实 IP 为 IP0，那么按照 XFF 标准，服务端最终会收到这样信息：X-Forwarded-For: IP0, IP1, IP2

CTF中可能会经常用到，指令以实验吧中貌似有点难为例：

通过BurpSuite抓包，然后在请求头中加上一句X-Forwarded-For:1.1.1.1即可。