web12
这道题先随便尝试一个用户名和密码
提示IP地址禁止访问,这道题这似曾相识的感觉,让我想到了一个html的请求头的参数:
X-Forwarded-For,它是一个 HTTP 扩展头部。HTTP/1.1(RFC 2616)协议并没有对它的定义,它最开始是由 Squid 这个缓存代理软件引入,用来表示 HTTP 请求端真实 IP。如今它已经成为事实上的标准,被各大 HTTP 代理、负载均衡等转发服务广泛使用,并被写入 RFC 7239(Forwarded HTTP Extension)标准之中。
所以,该参数也可以用来IP伪造
那么我们构造请求头
现在提示我们是无效的凭证,那接下来就是BP爆破,还是用我上一篇文章的字典,这里就不再赘述,字典的下载地址也在上一篇文章,最后爆破得到flag
注:萌新第一次写write up,不足之处还请见谅,不对之处欢迎批评指正