攻防世界web练习9

攻防世界web练习

九、xff_referer

X老师告诉小宁其实xff和referer是可以伪造的。
http://111.200.241.244:63551/

[原理]

X-Forwarded-For:简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP代理或者负载均衡服务器时才会添加该项

HTTP Referer是header的一部分，当浏览器向web服务器发送请求时，一般会带上Referer，告诉服务器是从哪个页面链接过来的

[目的]

掌握有关X-Forwarded-For和Referer的知识

[环境]

windows10专业版

[工具]

firefox、burp suite

[步骤]

1. 打开firefox和burp，使用burp对firefox进行代理拦截，在请求头添加X-Forwarded-For: 123.123.123.123
   
2. 根据提示，接着继续在请求头内添加Referer: https://www.google.com，可获得flag
   

或者

1. 在FireFox安装两个插件：X-Forwarded-For Header IP和HackBar V2

2. 先伪造X-Forwarded-For：123.123.123.123
   

3. 再伪造Referer：https://www.google.com