BUUCTF[极客大挑战 2019]HTTP

1.打开靶机
2.查看源代码，发现有个Secret.php。
3.访问它，页面告诉我们这个文件不是来自"https://www.Sycsecret.com",要进行抓包并修改请求头。4.修改请求头，添加Referer（Referer是告诉我们这个页面是从哪里来。）重新发送给服务器，查看响应数据。

5.提示添加User-Agent:Syclover browser
(User Agent中文名为用户代理，简称 UA，它是一个特殊字符串头，使得服务器能够识别客户使用的操作系统及版本、CPU 类型、浏览器及版本、浏览器渲染引擎、浏览器语言、浏览器插件等。)

6.提示只能从本地访问，则添加 X-Forwarded-For:127.0.0.1（获得HTTP请求端真实的IP）

得到flag。