进入靶场
查看源代码,发现Secret.php
打开Secret.php
http://node4.buuoj.cn:25819/Secret.php
It doesn't come from 'https://Sycsecret.buuoj.cn' 也就是网站是从https://Sycsecret.buuoj.cn来的,bp抓包,添加referer
发现 Please use "Syclover" browser,对访问的浏览器也有要求
添加访问的浏览器为Syclover
发现只能本地访问 添加X-Forwarded-For 伪造ip为127.0.0.1
得到flag