攻防世界--WEB题之xff_referer

问题描述：

难度系数：两颗星
题目来源： Cyberpeace-n3k0
题目描述：X老师告诉小宁其实xff和referer是可以伪造的。
题目场景：
点击获取在线场景
题目附件： 暂无

知识点：

xff:X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。

referer：Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，

工具：

Burp suite

解题步骤：

1. 打开题目所给的网站，我们可以看到这样的信息。接下来的思路就是进行抓包，修改相应的信息。
   
2. 抓包后，点击proxy进行查看，再点击headers进行修改，点击add添加‘X-Forwarded-For’，值为‘123.123.123.123’。添加后点击‘Action’，再点击‘send to repeater’。
   
3. 点击repeater，再点击send，进行查看response，我们会发现另一个线索。看来不光要修改X-Forwarded-For，还需要修改referer。
   
4. 点击proxy，在原来的基础之上，添加一个referer。添加后，就重复2、3步骤中的步骤进行查看response。
   
5. 我们在其中会发现，flag就在其中。提交，正确。