攻防世界--WEB--9.xff_referer--wp

一.题目

二.解题过程

法一：

1.进入场景，提示ip必须为123.123.123.123，打开xxf伪造ip

2.刷新，提示必须来自https://www.google.com，F12打开hackbar，点击load url--referer，输入地址后execute

得到flag：cyberpeace{591145c56594517f240142a280711f3c}

法2：

1.打开burp抓包，点击行动--发送给repeater，将X-Forwarded-For修改为123.123.123.123

2.点击发送，提示必须来自https://www.google.com

3.请求中输入Referer: https://www.google.com，

发送得到flag：cyberpeace{591145c56594517f240142a280711f3c}

三.总结

1.X-Forwarded-For:简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项

2.HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的