Buu的[极客大挑战 2019]Http1超级详解

1：首先打开靶机

发现这样一个界面，获取不到什么信息，于是查看源代码 

2：查看源代码发现这样的一个隐藏secret.php,打开访问它

 3：访问我们会得到这样的界面，提示说我们不是从这个网址来的

 则此时用bp抓包修改网站来源信息，referer是修改来源的，添加

                                        referer:https://Sycsecret.buuoj.cn

 

4：提交后发现这样的界面提示我们不是从那个浏览器过来的

 

 则再次修改浏览器信息

5：提交后又是只能从本地查看

 

 则修改地址用X-Forwarded-For

 由此得出flag