【愚公系列】2021年12月 攻防世界-简单题-WEB-009(xff_referer)

举报
愚公搬代码 发表于 2021/12/25 19:44:50 2021/12/25
【摘要】 一、xff_referer题目链接:https://adworld.xctf.org.cn/task/task_list?type=web&number=3&grade=0&page=1 二、使用步骤 1.点击获取在线场景 2.X-Forwarded-For在burpsuit中添加请求头:X-Forwarded-For: 123.123.123.123返回HTTP/1.1 200 OKDa...

一、xff_referer

题目链接:https://adworld.xctf.org.cn/task/task_list?type=web&number=3&grade=0&page=1

二、使用步骤

1.点击获取在线场景

在这里插入图片描述

2.X-Forwarded-For

在这里插入图片描述

在burpsuit中添加请求头:X-Forwarded-For: 123.123.123.123
在这里插入图片描述
返回
在这里插入图片描述

HTTP/1.1 200 OK
Date: Sat, 25 Dec 2021 11:30:19 GMT
Server: Apache/2.4.7 (Ubuntu)
X-Powered-By: PHP/5.5.9-1ubuntu4.26
Vary: Accept-Encoding
Content-Length: 525
Connection: close
Content-Type: text/html

<html>
<head>
    <meta charset="UTF-8">
    <title>index</title>
    <link href="http://libs.baidu.com/bootstrap/3.0.3/css/bootstrap.min.css" rel="stylesheet" />
    <style>
        body{
            margin-left:auto;
            margin-right:auto;
            margin-TOP:200PX;
            width:20em;
        }
    </style>
</head>
<body>
<p id="demo">ip地址必须为123.123.123.123</p>
<script>document.getElementById("demo").innerHTML="必须来自https://www.google.com";</script></body>
</html>

在burpsuit中添加请求头:Referer: https://www.google.com
在这里插入图片描述

HTTP/1.1 200 OK
Date: Sat, 25 Dec 2021 11:42:05 GMT
Server: Apache/2.4.7 (Ubuntu)
X-Powered-By: PHP/5.5.9-1ubuntu4.26
Vary: Accept-Encoding
Content-Length: 631
Connection: close
Content-Type: text/html

<html>
<head>
    <meta charset="UTF-8">
    <title>index</title>
    <link href="http://libs.baidu.com/bootstrap/3.0.3/css/bootstrap.min.css" rel="stylesheet" />
    <style>
        body{
            margin-left:auto;
            margin-right:auto;
            margin-TOP:200PX;
            width:20em;
        }
    </style>
</head>
<body>
<p id="demo">ip地址必须为123.123.123.123</p>
<script>document.getElementById("demo").innerHTML="必须来自https://www.google.com";</script><script>document.getElementById("demo").innerHTML="cyberpeace{2c46b79f9949357cf5dbe33e5a44b50b}";</script></body>
</html>

得到flag:cyberpeace{2c46b79f9949357cf5dbe33e5a44b50b}


总结

  • burpsuit
  • Referer
  • X-Forwarded-For
【版权声明】本文为华为云社区用户原创内容,转载时必须标注文章的来源(华为云社区)、文章链接、文章作者等基本信息, 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。