攻防世界WEB新手入门10 xff_referer

最新推荐文章于 2025-04-22 20:49:12 发布
原创 最新推荐文章于 2025-04-22 20:49:12 发布 · 548 阅读 · 1 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
收录于
攻防世界

当前文章被收录于：

攻防世界
1 篇文章 0 人学习
订阅专栏 查看详情
本文详细解析了攻防世界WEB新手入门10xff_referer题目，通过伪造XFF和添加Referer字段，成功获取flag。介绍了使用burpsuite抓包及修改HTTP请求头的技巧，强调了HTTP报文正确格式的重要性。

攻防世界WEB新手入门10 xff_referer

题目信息

WriteUp

打开链接后看到如下信息

结合题目可知需要伪造XFF。
打开burpsuite进行抓包

在包头添加XFF信息

X-Forwarded-For: 123.123.123.123

发送以后发现没有响应
咨询大佬以后得到回复：http报文结束时需要两行空白行

至于burpsuite抓包时只有一行空白且能正常响应的原因暂时未知。
在响应包后多加一行空白即可正常响应。

响应页面如下：

再添加Referer

Referer: https://www.google.com


发送即可得到flag

标签
#web #安全
「干货」XCTF Web安全入门练习靶场全部通关教程
橙留香Park的博客
04-13 8115
转移发布平台通知：将不再在CSDN博客发布新文章，敬请移步知识星球... ...
CTF之路：关于X-Forwarded-For注入
zw05011的博客
01-05 3589
题目 输入任意用户名密码登录，显示IP禁止访问。 知识点 伪造XFF头绕过服务器IP过滤 IP伪造 TCP/IP层面的IP伪造很难实现，因为更改后很难实现正常的TCP通信，但在HTTP层面的伪造就显得很容易。可以通过伪造XFF头进行IP伪造 XFF字段 X-Forwarded-For(XFF)简称XFF头，是HTTP 报文头部的关键字段之一。代表了HTTP的请求端真实的IP。它被认为是客户端通过HTTP代理或者负载均衡器连接到web服务端获取源ip地址的一个标准（通常一些网站的防注入..
BUUCTF [CISCN2019 华东南赛区] Web11
Senimo
12-23 1158
BUUCTF [CISCN2019 华东南赛区] Web11 考点： 根据页面提示，应该是一个类似IP查询的网站，根据**XXF（X-Forwarded-For）**判断
CTF（攻防世界）web 基础篇
xj28555的博客
06-28 6978
今天写的是攻防世界的CTF，题目类型是web新手篇，虽然很多博客上都有，但是我还是想用自己的方式在写一遍。好的直接步入正题。 第一题 点击进入题目场景 在看题目给出的提示教我们查看源代码，但是右键不管用了。因为我用的是谷歌浏览器，我们可以通过F12进入开发者进而查看源代码，或者Ctrl+U。 看到源代码后把flag填进指定区域即可 第二题 题目描述是关于robots协议，而robots协议是一个网站和爬虫之间的协议，在robots上你可以写上你网站不想被爬虫爬取的内容。大家也可以
XCTF篇（新手练习）Web之xff_referer
qq_43230425的博客
09-20 837
XCTF篇（新手练习）Web之xff_referer 题目： 打开场景后为： 根据题目提示，简单了解一下xff和referer： HTTP来源地址（referer，或HTTP referer） 是HTTP表头的一个字段，用来表示从哪儿链接到当前的网页，采用的格式是URL。换句话说，借着HTTP来源地址，当前的网页可以检查访客从哪里而来，这也常被用来对付伪造的跨网站请求。 X-Forwarded-For（XFF） 是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的H
【CTF | WEB】003、攻防世界WEB题目之xff_referer
韩非雨的博客
08-14 1959
XFF用于追踪客户端的真实 IP 地址，特别是在请求经过多个代理服务器时。Referer用于标识当前请求页面的来源页面，帮助服务器理解用户的访问路径。这两个头字段在网络安全和流量分析中都非常重要。
《攻防世界》Web新手题总结
weixin_43460822的博客
09-28 2万+
这一周我一直在攻防世界上做web新手题，今天刚刚做完，特意写篇博客来做一下总结。下面就开始写我的解题过程。 先把所有题目贴出来 Web新手题一共有12道题，分别是 view_source get_post robots backup cookie disabled_button simple_js xff_referer weak_auth webshell command_execution ...
XCTF攻防世界练习区-web题-xff_referer
果冻先生的专栏
09-30 2万+
0x08 XFF Referer 【题目描述】 X老师告诉小宁其实xff和referer是可以伪造的。 【目标】 掌握有关X-Forwarded-For和Referer的知识： （1）X-Forwarded-For:简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项。xff 是http的拓展头部，作用是使Web服务...
XCTF攻防世界web新手练习_ 6_xff_referer
silence1_的博客
04-28 1万+
XCTF攻防世界web新手练习—disabled_button 题目 题目为xff_referer，描述信息 根据描述信息，知道题目应该与xff和referer相关 进入题目，看到 于是用brup抓包，在http头加一条X-Forwarded-For: 123.123.123.123 发送请求 在响应中看到必须来自谷歌 于是再次增加一条Referer: https://www.google.c...
xff_referer-攻防世界
szhangliwenya的博客
03-26 1929
题目bp抓包发到重发器题目提示xff和refererX-Forwarded-For（XFF）和Referer都是HTTP请求头字段，它们在Web通信中扮演着重要的角色。X-Forwarded-For（XFF）用于识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址。XFF的主要作用是告诉服务器当前请求者的最终IP。在一些情况下，攻击者可能会尝试伪造X-Forwarded-For字段来隐藏其真实IP地址，因此在使用XFF时需要谨慎验证其真实性。
攻防世界 - Web - Level 2 | xff_referer
Blue17 の 小窝
12-20 1540
获取客户端IP一、标题网络上常见的请求头1、X-Forwarded-For2、Proxy-Client-IP3、WL- Proxy-Client-IP4、HTTP_CLIENT_IP5、X-Real-IP二、注意事项1、非标准请求头2、不一定存在3、多重代理顺序4、请求头伪造三、代码场景样例一、标题网络上常见的请求头1、X-Forwarded-For这是一个 Squid 开发的字段，只有在通过了 HTTP 代理或者负载均衡服务器时才会添加该项。字段用于表名我是从哪个页面发起的请求，比如我在。
攻防世界-web xff_Referer
m0_53533553的博客
09-11 2819
xff_Referer 扩展 xff Romote Address xff简称X-Forwarded-For X-Forwarded-For 是一个 HTTP 扩展头部，是用来识别通过HTTP代理，或，负载均衡方式，连接到Web服务器的客户端最原始的IP地址，的HTTP请求头字段。 主要是为了让 Web 服务器获取访问用户的真实 IP 地址。 那为什么 Web 服务器只有通过 X-Forwarded-For 头才能获取真实的 IP？ Remote Address代表的是当前HTTP请求的远程地址，即HTTP
XFF与Referer（含实操）
热门推荐
slj1552560的博客
02-16 2万+
Part1:XFF与Referer基本了解 关于xff和referer维基百科： X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。 HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。简单地说，xff是告诉服务器当前请求者的最终ip的http请求头字段通常可以直接通过修改http
攻防世界 web xff_referer
Kni9hT's Blog
03-01 803
真棒！每个web题都能学点新东西，而且感觉很nb的样子。不像pwn，wtnl… 本题涉及： XFF： X-Forwarded-For（XFF）是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。 referer: HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页...
攻防世界 WEB新手 xff_referer
qq_38969294的博客
03-03 862
攻防世界 WEB新手 xff_referer 下面我们阅读题目： xff_referer35 最佳Writeup由话求 • DengZ提供 难度系数： 题目来源： Cyberpeace-n3k0 题目描述：X老师告诉小宁其实xff和referer是可以伪造的。 题目场景： http://111.198.29.45:50503 删除场景 倒计时：03:59:52 延时 题目附件： 暂无 点击链接 ...
20201228攻防世界WEB模块入门级别全详解通关记录
qq_45290991的博客
12-29 2492
在学（hun）习（ji）了DVWA靶场之后，为了进一步加深实战环境下对各个web常见漏洞的理解和绕过机制，我在同学的推荐之下开始了攻防世界的web题目练习。 第一题 如题描述查看源码发现鼠标右键的菜单机制被禁止了，可以按火狐（谷歌）浏览器的查看网页源码的快捷键Ctrl+U，查看源码。 <script> document.oncontextmenu=new Function("return false") document.onselectstart=new Function("ret
攻防世界（新手版）
最新发布
qq_45593207的博客
04-22 1849
进阶了现在，所以复习旧的题目要学仔细点，有什么不对的家人们可以放在评论区指导一下。
攻防世界xff_referer
2401_86760082的博客
11-28 663
当请求通过一个代理服务器或负载均衡器时，使用 X-Forwarded-For 头部字段来识别请求的真实客户端 IP 地址，服务器只能看到请求的中介代理或负载均衡器的 IP 地址，而无法直接获取客户端的真实 IP 地址。HTTP 请求经过的代理服务器的 IP 地址，通常位于前面，按照从接近客户端到接近服务器的顺序排列。<port>请求的端口号，默认端口(HTTP 端口为 80，HTTPS 端口为 443)可以省略。包含当前请求的来源页面 URL 地址，即前一个页面的URL地址。
攻防世界之WEB新手练习区（更新至11）
HHH's Blogs
08-09 1万+
001 view_source
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值