【CTF Web】BUUCTF BUU BURP COURSE 1 Writeup（X-Real-IP伪造+POST请求）
BUU BURP COURSE 1
1
点击启动靶机。
解法
用 hackbar 将 X-Forwarded-For 设为 127.0.0.1，无效。提示：只能本地访问。
将 Referer 设为 127.0.0.1，无效。提示：只能本地访问。
将 X-Real-IP 设为 127.0.0.1，成功，进入登录页。
查看网页源代码。
<!DOCTYPE html>
<html lang="zh-cn">
<head>
<meta charset="UTF-8">
<title>登录</title>
</head>
<body>
<div style="text-align: center">
<form action="" method="post">
用户名：<input type="text" name="username" value="admin"/><br>
密码：<input type="password" name="password" value="wwoj2wio2jw93ey43eiuwdjnewkndjlwe"/><br>
<input type="submit" value="登录"/>
</form>
</div>
</body>
</html>
表单内已有缺省值，直接提交表单。提示：只能本地访问。
用 hackbar 发送 POST 请求到：
http://0a5ee8e4-1551-496e-bfe9-73d6e8caaf4f.node5.buuoj.cn:81/
请求体：
username=admin&password=wwoj2wio2jw93ey43eiuwdjnewkndjlwe
取得 flag。
Flag
flag{fed306ab-98d9-468f-b3b0-9e8ce1c07d38}
声明
本博客上发布的所有关于网络攻防技术的文章，仅用于教育和研究目的。所有涉及到的实验操作都在虚拟机或者专门设计的靶机上进行，并且严格遵守了相关法律法规。
博主坚决反对任何形式的非法黑客行为，包括但不限于未经授权的访问、攻击或破坏他人的计算机系统。博主强烈建议每位读者在学习网络攻防技术时，必须遵守法律法规，不得用于任何非法目的。对于因使用这些技术而导致的任何后果，博主不承担任何责任。