攻防世界——新手区——xff_referer

题目提示 xff和referer是可以伪造的。 直接上burpsuite 因为题目要求，ip必须为123.123.123。所以抓包后添加 X-Forwarded-for:123.123.123.123 发包 可以看到，题目要求是必须来自https://www.google.com。再添加 referer:https://www.google.com 发包 获得了flag。 知识点 什么是 xff

>>阅读原文<<