[极客大挑战 2019]Http 1

进入题目，可以看到是一个小型的网站

这里我也走了很多弯路，题目提示为HTTP，这里就可以在源码中找一些隐藏信息
搜搜.php可以看到有一个Secret.php

进入提示It doesn't come from 'https://Sycsecret.buuoj.cn'

意思就是我们不是来自https://Sycsecret.buuoj.cn这个网址的请求
这个是由文件头Referer控制的
使用burpsuite抓包，加入Referer: https://Sycsecret.buuoj.cn

发送

响应提示我们不是Syclover浏览器
可以使用User-Agent控制
修改数据包，User-Agent: Syclover

发送

回复No!!! you can only read this locally!!!
意思是：不！！！你仅仅只能在本地阅读！！！
可以修改X-Forwarded-For控制客户端地址，或者Clinet-IP也可以

这里我们输入Clinet-ip却没有成功，使用X-Forwarded-For

得到flag
收获

源代码中信息太多时，可以搜索 <a>标签、href、.php等特殊文件进行查找筛选
Referfer: 控制来自那个网站转发的数据
X-Forwarded-For:  控制客户端的IP地址
Client-Ip: 控制客户端的IP地址
User-Agent:  控制客户端使用的浏览器