[极客大挑战 2019]Http
检查源码，发现Secret.php
进入Secret.php
It doesn't come from 'https://www.Sycsecret.com'提示burp抓包修改Referer
Referer: https://www.Sycsecret.com提示Please use "Syclover" brows修改UA
User-Agent: Syclover提示No!!! you can only read this locally!!!最后一关检查的是客户端来源。题目后端信任了 X-Forwarded-For，因此在 CTF 环境里可以伪造为本地地址：
X-Forwarded-For: 127.0.0.1这只是题目应用错误信任代理头的结果，真实环境中 X-Forwarded-For 只有在受信任反向代理正确覆盖/追加时才适合作为来源依据。
得到 flag
评论将在接近此处时加载，也可点击立即加载。