安恒月赛-2019年6月-web

localview

题目

有个傲娇的管理员，只能从本地才能看到想要的~答案提交flag{}括号内的值。

writeup

根据题目提示

有两个注意点：

1、管理员

2、从本地

据此，我一开始进入了一条死路，直接在index.php的基础上，抓包，然后xff，实现欺骗，没有达到预期发现，于是考虑到管理员这一提示

正确解题过程：

首先先扫一下：

发现admin.php可访问，

于是访问后，发现：

查看页面源代码：

于是，抓包：

修改，得到flag：

Host: localhost
X-Forwarded-For: 127.0.0.1