BugkuCTF-WEB-管理员系统

打开题目是如上图界面，网页给了一个登陆的页面，刚看起来还有点像SQL注入的样子，打开源代码看一下：

源代码里确实有点东西，有一个经过base64编码的字符串，先解码看一下：

解码之后结果为test123，猜想一下，这既然是一个后台的管理员系统，用户名指定为admin，那么这个执行就是密码没错了，填上测试一下：

出事了，输入username和password之后，网页提示“IP禁止访问，请联系本地管理员登录，IP已被记录。”

这咋整咧？需要本地登录，那现在我需要去伪造一个本地IP去登录。

接下来使用burpsuite进行抓包：

更改Headers，添加一行：X-Forwarded-For:127.0.0.1，点击Go执行，执行之后可以清晰的发现flag。

总结：关于X-Forwarded_For的相关内容

https://baike.baidu.com/item/X-Forwarded-For/3593639?fr=aladdin

https://www.runoob.com/w3cnote/http-x-forwarded-for.html