[极客大挑战 2019]Http1解题思路

1.打开Burp suite输入靶机的网址进行抓包，并把抓到的包发送到repeater（重发器）当中

 在重发器中先点击发送查看一下结果的网页源代码。

在源码当中发现在一个html语句，并且是a标签的跳转语句，而跳转的地点是secret.php

氛围

2.既然是秘密页面，我们当然要进去看一下到底是什么密码。在http头后上/secret.php然后再点击发送，查看界面结果是什么。

 回显结果为：It doesn't come from 'https://www.Sycsecret.com'。

 则继续修改HTTP头,让他来自https://www.Sycsecret.com

3.发送后继续查看回显结果，结果是让来自一个名为Syclover的浏览器。

修改HOST头，修改浏览器。

 发送的回显为：No!!! you can only read this locally!!!

 4.修改HTTP头，添加语句X-Forwarded-For:127.0.0.1就可以完成只能允许本地访问。

 修改完之后查看回显发现flag值。flag{c2950810-c99a-4941-a7ce-e81c4a9d731f}