BugkuCTF_管理员系统

打开解题网址，一个账户密码登录界面，并尝试管理员身份登录，出现一行提示：

一开始以为是SQL注入题，经过尝试后确定不是，然后又回到题目看提示，提示是本地管理员登录，本地两个字，想到一种叫做 本地 IP 伪造的说法，然后网上查了一下，专业术语叫做 XFF 头伪造：具体详请请看转载博客：点这里
具体做法：
1，首先使用抓包工具，把页面的数据包抓取：

然后在请求头部 Headers 添加 X-Forwarded-For:127.0.0.1 :

go一下，出现凭证无效提示：

仔细一想，此时缺的是一个管理员的密码，而在审查源码是发现一个注释标签提示：

base64解密，然后再 go 一下，得到flag。