BUU BURP COURSE 1

最新推荐文章于 2024-06-24 16:11:31 发布
最新推荐文章于 2024-06-24 16:11:31 发布
阅读量968 收藏
点赞数
分类专栏： CTF 文章标签： 服务器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_35697696/article/details/127075624
版权

在这里插入图片描述
限制本地一般是根据ip判断, 引用别人的博客;Nginx 获取真实 IP 方案

获取IP的原理都是通过XRI和XFF进行处理，从中选出“正常情况下”的源头IP，然而这两个Header都是普通的HTTP头，任何代理程序都可以轻易修改伪造它们，使得获取IP的逻辑失效。

关键字:header: X-Forward-For 、X-Real-IP
X-Forwarded-For(XFF)是用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段。 Squid 缓存代理服务器的开发人员最早引入了这一HTTP头字段，并由IETF在Forwarded-For HTTP头字段标准化草案中正式提出。
X-Real-IP的资料没那多,也是和XFF一样功能的

这题需要把这两个hearder都加上才行
在这里插入图片描述

朋克归零膏
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Burpsuite神器使用介绍
07-07
burpsuite神器使用详细介绍，让你从小白进入大神。
1ncrd#Study-Record#BUUCTF[第二章 web进阶]XSS闯关1.md
08-10
一些关于xss的payload
BUUCTF--BUU BURP COURSE 1
qq_46263951的博客
07-09 3794
根据提示只能本地访问我们需要伪造一个本地地址 当使用X-Forwarded-For时发现并没有成功访问，e...我们尝试另一种方法 当使用X-Real-IP时我们可以成功进入 登录进去之后我们即可获得Flag 总结： 本题主要考察伪造本地地址的方法 X-Forwarded-For 和 X-Real-IP 的区别 ...
BUU BURP COURSE 1【basic】
weixin_52942048的博客
10-07 451
(2) remote_addr、X-Real-IP、X-Forwarded-For，这3个头参数需要详细了解。(1) 看到这里估计就蒙了，这怎么玩？这提示就是伪造一个本地请求，就是头信息中传一个127.0.0.1；
【CTF】BUU BURP COURSE 11
最新发布
weixin_42515203的博客
06-24 305
BUU BURP COURSE 11，构造本地访问的header信息！
BUUCTF/BUU BURP COURSE 1
weixin_44041994的博客
03-22 443
使用burp suite拦截，在数据包中添加字段：X-Real-IP: 127.0.0.1 以及 Content-Length: 0。在数据包中添加X-Real-IP: 127.0.0.1后发送，成功获得flag。同样打开burp suite拦截后，点击登录。打开靶机提示，页面提示"只能本地访问。发送后进入一个登录界面。输入flag，闯关成功。
BUUCTF basic BUU BURP COURSE 1 & LFI Labs
网安小趴菜
08-27 2363
BUUCTF basic BUU BURP COURSE 1和LFI Labs
BUU BURP COURSE
Firebasky的博客
07-23 2140
BUU BURP COURSE的wp 好久都没有发博客文章了，最近都是在自己学习和做题还有学车。开心的是现在也是有本本的人了。好了废话不多说进入正题。 打开题目就一个提示只能本地访问直接就想到了X-Forwarded-For的伪造 结果还是提示只能本地访问。说明我们的方法不对。 然后自己通过查阅资料发现在http里面除了可以使用X-Forwarded-For以外，还可以使用X-Real-IP. 于是乎我尝试X-Real-IP: 127.0.0.1 发现出现了用户名密码。说明我的做法是正确的。 之后就是点击登
BUU 论坛的编辑器163Editor
09-21
1. **result.asp**：这可能是一个ASP（Active Server Pages）脚本文件，通常用于服务器端处理用户请求。在编辑器的上下文中，它可能是用来处理用户通过编辑器提交的富文本内容，例如进行数据格式转换或存储到数据库...
POSN:POSN-BUU的源代码
04-01
1. **面向对象编程**：C++支持面向对象编程（OOP），这可能意味着代码中包含多个类，每个类代表了系统中的一个实体或功能，如定位器、传感器、数据处理器等。类之间可能存在继承、封装和多态性等特性。 2. **模板和...
Majin Buu Top HD Anime New Tabs Theme-crx插件
03-15
每次打开一个新选项卡，您将获得Majin Buu提供的不同高清壁纸 这个新主题包括时钟等等。 魔鬼的布欧（the devil，Buu），日本动漫《七龙珠》中的义与恶的角色，是《七龙珠》综合实力最强的BOSS。 这个名字来自电影...
BUUCTF Basic 解题记录--BUU BURP COURSE 1
weixin_43171033的博客
10-08 1030
6、点击登录，在proxy截获的头信息中添加上本地登录的信息 X-Real-IP:127.0.0.1，再转发即可得到flag，成功。3、将proxy的信息转到repeater区域，尝试看看有什么结果，发现有一个默认用户名和密码的登录界面。2、应该使用X-Real-IP，将这里的IP设置成127.0.0.1不就是本地访问了吗，哈哈哈。4、将标红的一段 X-Real-IP:127.0.0.1 加到proxy中，再转发。看题目就能想到肯定跟burpsuite工具相关，直接打开准备分析数据。
BUUCTF Basic BUU BURP COURSE 1解题WP
风儿轻轻吹
03-27 2073
1.启动靶机 访问靶机发现网页提示只能本机访问： 可能是检查请求头只的X-Real-IP字段。 2.使用BP测试 BP抓包，添加X-Real-IP：127.0.0.1测试，发现返回登录界面且包含登录信息： 3.根据上述信息，更改使用POST方法提交username=admin&password=wwoj2wio2jw93ey43eiuwdjnewkndjlwe 获取flag{69a567b4-7864-47f6-b854-186ad981de40} ...
BUUCTF--BUU UPLOAD COURSE 1
m0_62879498的博客
03-03 7399
BUUCTF–BUU UPLOAD COURSE 1 一进入本题，我们先尝试上传文件，发现我们无论上传什么文件都会上传成功。我们尝试直接上传 shell.php 文件，上传成功，但在访问的时候发现： 我们没有办法访问，使用AntSword进行连接也是报错 题目没有设置上传后缀的限制 但是上传之后任意后缀形式都会被改成.jpg格式（无论我们使用什么办法，包括BP改包，放包后依旧以 .jpg 的格式储存），换句话说 .htaccess 配置文件， 也无法使用我们无法使用中国剑蚁进行连接。 查询了大佬的博客
BUUCTFbasic做题记录（1）
qq_51558360的博客
03-13 2522
Linux Labs 使用ssh连接,用户是 root，密码：123456, -p指定端口，端口是随机的 然后输入yes，后输入密码即可连接上了 ssh -p 25527 root@node3.buuoj.cn BUU LFI COURSE 1 ?file=/var/log/nginx/access.log ：包含ngnix的日志记录 BUU CODE REVIEW 1 代码审计： 第一层 get post ?pleaseget=1 pleasepost=2 第二层 md5漏洞 传递md51和
【网络安全CTF】BUUCTF(Basic篇)
信安是不可或缺的一部分！
05-11 6262
参考之前写的：https://blog.csdn.net/qq_39583774/article/details/120722112?此题详解可以看：https://blog.csdn.net/weixin_43965597/article/details/126381171。admin 加密码登陆注意这里不是md5加密，开始看错了，解半天没解出发现是明文存储的，无语。使用其他方式,发现这里不对，上传一个phpinfo发现能够执行，但是执行的jpg格式。
第四天——CTF常用基础知识点-大杂烩
NYG694的博客
07-12 231
XSS (Cross-Site Scripting) 攻击则利用网站对用户输入的信任，将恶意的脚本注入到页面中，使得其他用户在浏览该页面时执行这些恶意脚本。攻击者可以在用户的浏览器中执行任意的脚本代码，例如窃取用户的登录凭证、篡改页面内容或进行其他针对用户的攻击。因此，XXE攻击主要针对XML解析器和应用程序中的XML处理逻辑漏洞，而XSS攻击则专注于利用Web应用程序中对用户输入的不当处理。CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限，然后实施破坏。
BUU XSS COURSE 1
09-12
BUU XSS COURSE 1是一个关于跨站脚本攻击(XSS)的课程。在这个课程中，学习者将学习如何识别和利用网站中的XSS漏洞。引用中提到了一个payload，它包含了一个iframe标签和一段srcdoc代码，这个payload可以用于触发XSS漏洞。引用提供了一个简单的XSS代码示例，它使用了<script>标签来弹出一个警报框。引用中提到了一个XSS平台，通过利用管理员的cookie和来访地址，可以访问指定的URL地址。 总结起来，BUU XSS COURSE 1是一个教授XSS攻击技术的课程，通过学习课程内容，学习者可以了解如何识别和利用网站中的XSS漏洞，并且还提供了一些XSS代码示例和相关工具来帮助学习者进行实践。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值