[BJDCTF2020]The mystery of ip

打开题目发现有三个页面

首页

 hint

flag，点击出现自己的ip

题目既然是“ip的秘密”，可能存在X-Forwarded-For注入

什么是X-Forwarded-For

X-Forwarded-For 是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP 请求端真实 IP。如今它已经成为事实上的标准，被各大 HTTP 代理、负载均衡等转发服务广泛使用，并被写入RFC 7239 （Forwarded HTTP Extension）标准之中。

更多可参考FreeBuf网络安全行业门户

抓包flag界面添加X-Forwarded-For，列出根目录下的文件

​

发现根目录有flag，查看即可得到flag

​