x老師告訴小寧其實xff和referer是可以偽造的。
（1）x-forwarded-for:簡稱xff頭，它代表客戶端，也就是http的請求端真實的ip，只有在通過了http **或者負載均衡伺服器時才會新增該項。xff 是http的拓展頭部，作用是使web伺服器獲取訪問使用者的ip真實位址（可偽造）。由於很多使用者通過**伺服器進行訪問，伺服器只能獲取**伺服器的ip位址，而xff的作用在於記錄使用者的真實ip，以及**伺服器的ip。格式為：x-forwarded-for: 本機ip, **1ip, **2ip, **2ip
（2）http referer是header的一部分，當瀏覽器向web伺服器傳送請求的時候，一般會帶上referer，告訴伺服器我是從哪個頁面鏈結過來的，伺服器基此可以獲得一些資訊用於處理。referer 是http的拓展頭部，作用是記錄當前請求頁面的**頁面的位址。伺服器使用referer確認訪問**，如果referer內容不符合要求，伺服器可以攔截或者重定向請求。
burp：直接在請求頭新增：
x-forwarded-for:123.123.123.123
提示必須來自谷歌
再新增referer:
出來了
攻防世界web新手之xff referer
根據題目的提示，了解到本題需要我們偽造xff和referer 首先了解一下xff和referer的作用 xff 是http的拓展頭部，作用是使web伺服器獲取訪問使用者的ip真實位址 可偽造 由於很多使用者通過 伺服器進行訪問，伺服器只能獲取 伺服器的ip位址，而xff的作用在於記錄使用者的真實ip...
攻防世界mfw 攻防世界 Web mfw
題目資訊 image.png 工具 githack,dirsearch 知識點 git漏洞 審計 開啟題目場景，檢查 發現這樣乙個頁面 image.png 訪問.git目錄，疑似存在git原始碼洩露 image.png 再用dirsearch掃瞄，發現git原始碼洩露 使用 githack獲取原始碼...
攻防世界Web lottery
開心！雖然第一次遇到git原始碼洩露寫了好久，但是寫出來了就很開心 開啟介面我們知道，要拿到flag，就要贏到足夠的錢，其實一開始我以為可以找到乙個地方直接修改餘額什麼的，把網頁源 中的檔案看了幾個都沒發現突破口 然後又沒思路了 嘗試了一下robots.txt，想看看有沒有什麼檔案，然後發現了 瞬間...