CTF--基于X-Forwarded-For的IP地址伪造

X-Forwarded-For以及其作用

一般的客户端(例如：浏览器)在发送HTTP请求时，并不会设置X-Forwarded-For头，当请求在到达第一个代理服务器时，代理服务器会在请求字段中加上X-Forwarded-For这个字段，并将其值设置为客户端的IP地址，后面如果还有更多的代理服务器，会依次将Ip地址追加到X-Forwarded-For这个字段中，最终当请求到达了Web应用服务器，应用会通过获取X-Forwarded-For头取出最左边的IP地址，即为客户端的真实IP地址。

如果客户端在发起请求时，请求头上带上一个伪造的X-Forwarded-For，由于后续每层代理只会追加而不会覆盖，那么最终到达应用服务器时，最左边的IP地址就是客户端伪造的IP地址。

这个利用方法可以绕过一些针对IP地址进行限制的应用，例如：投票等应用

具体实操

查看题目

 

 

 

 

 

分析题目

1.打开页面，发现是一个登录页面

2.使用F12查看网页原代码以及注释，看有没有什么比较重要有价值的信息，然而并没有。