撒，來細數你的罪惡吧！（七月第一階段，web題之forbidden）

登入題目給的網址發現直接顯示的 Forbidden 但查看瀏覽器網絡監視器發現實際上服務器返回的代碼是200。 1、查看網頁源碼發現註釋必須從本機登陸， 則考慮僞造請求頭（header） X-Forwarded-For（XFF頭） 是用來識別通過HTTP代理或負載均衡方式連接到web服務器的客戶端最原始的IP地址的http字段 常用此字段實現僞造ip地址的目的 使用burp suite的proxy

>>阅读原文<<