HTTP请求头伪造入门：从SWPUCTF新生赛题看Web安全

1. 题目初印象：从名字里能读出什么

先说结论：这道[SWPUCTF 2021 新生赛]Do_you_know_http是一道典型的、面向新手的Web安全入门题，核心考察的是对HTTP协议基础知识的理解与抓包改包能力。它不会要求你掌握复杂的漏洞利用链，也不涉及SQL注入、文件上传、反序列化这类重武器，只要你搞清楚HTTP请求头、响应头里那些字段的含义，就能顺藤摸瓜拿到flag。

我最早看到这个标题的时候，第一反应是“这题在问你会不会HTTP”。SWPUCTF是某高校学生团队办的比赛，新生赛的定位就是给刚入门CTF的同学练手。题目名直白到几乎是把考点写在脸上了——Do you know HTTP，翻译过来就是“你懂HTTP吗”。如果你当时心里咯噔一下，觉得自己对HTTP的理解停留在“输入网址回车出页面”这个层面，那这题就是专门来帮你补课的。

从出题思路来看，新生赛的题目不会一上来就丢一个黑盒靶场让你扫目录、跑漏洞。它通常会设置几个关卡，每一关对应一个常见的HTTP知识盲区。比如最常见的考点包括：怎么用指定方法请求、怎么伪造来源Referer、怎么伪装User-Agent、怎么改X-Forwarded-For伪造IP，以及怎么在响应头里发现隐藏信息。这几个点几乎是Web新手村必刷的“五连鞭”，很多入门题都是这几种套路的排列组合。

我当时做这道题时，第一感觉是它的引导做得挺友好——页面会明确提示你“应该用什么方式访问”，相当于把题目要求写在脸上。但新手最容易栽的坑也在这里：知道要改请求头，却不知道用什么工具改、改完怎么发、改错格式会怎样。下面我就按自己实际复现的过程，把每一步都拆开讲清楚，包括怎么分析页面提示、怎么用浏览器开发者工具完成初步探测、以及怎么用脚本一次性拿到flag。整个过程不需要装任何重型工具，你只要有浏览器和Python环境就能跟下来。

2. 环境准备与工具选型：不要一上来就Burp Suite

先说环境。这题其实只要一个能联网的浏览器就能完成大半，但为了减少重复手工操作，我还是准备了一个Python环境（3.6以上就行，不需要装太多第三方库）。很多新手一听说要做Web题，第一反应是打开Burp Suite Pro，我觉得没必要——对付新生赛这种级别的题目，浏览器自带的开发者工具已经够用了，Burp反而可能因为证书配置、代理设置等问题让你卡在第一步。当然如果你之后打算深入Web方向，Burp的Proxy模块迟早要熟练掌握，但现阶段先把轻量工具用明白更重要。

我的实操环境如下：

• 操作系统：Windows 10 / Kali Linux 均可，没有特殊要求
• 浏览器：Chrome或Firefox，重点用F12开发者工具里的Network面板
• Python版本：3.8以上，用requests库发请求
• 可选工具：Postman（如果你不喜欢写代码，用Postman改请求头也很直观）

注意：题目环境是动态部署的，每个人打开的靶机域名或IP可能不同，所以下文中的URL我会用http://target/代替。你做题时以自己浏览器里实际打开的地址为准。

准备工作只需要一步：在浏览器中打开靶场地址，页面会显示题目描述和一段提示信息。这一步很重要，因为后续每一步怎么走，几乎都藏在页面的字里行间里。不要嫌字少，新手最容易犯的毛病就是不看页面提示上来就乱扫。

3. 第一关：从响应头里找线索，以及方法限制

3.1 初始页面的玄机

当我打开靶场地址时，页面极其简洁，中央一行字，大意是“如果你使用正确的请求方式，就能看到下一步的线索”。同时页面底部或页脚位置通常会有一个小提示，告诉你“flag就在某处”之类的云云。这类页面其实是出题人故意留的白板，真正的信息都藏在HTTP交互层。

我习惯性的第一步永远是按F12打开开发者工具，切到Network（网络）面板，然后刷新页面。此时你会看到页面发起的网络请求，点击第一个文档请求（通常是页面本身的请求，Type为document），在右侧Headers区域能看到完整的请求头（Request Headers）和响应头（Response Headers）。新手这时候往往只盯着页面上的文字看，忽略了响应头，这就错过了第一处线索。

实际看到的响应头里可能包含一个自定义字段，比如：

HTTP/1.1 200 OK Server: nginx/1.18.0 Date: ... Content-Type: text/html ...

题目有时候会把一段Base64编码的提示放在某个自定义响应头里，或者通过响应头的Set-Cookie字段传递状态。我第一次做的是SWPUCTF版本的题目，它的响应头里并没有藏特别离谱的东西，反而是在页面源码里提示了“你应该用GET方法”。但有些变体会在响应头塞一个叫做flag的字段，让你误以为已经拿到flag，实际上只是一个提示。所以养成看响应头的习惯很重要——它不光是这道题的基础，以后做任何Web题都应该先看一遍完整的请求和响应。

3.2 方法限制的细节解析

回到题目本身的流程。初始页面可能会提示你：

Please use GET method to get the flag.

或者反过来说，它要求你用某种“非默认”方法。这里就涉及一个基础知识点：HTTP请求方法不止GET和POST，还有HEAD、PUT、DELETE、OPTIONS、PATCH等。服务器端如果只判断了REQUEST_METHOD，而没有严格限制方法，那么你用任何方法访问都可能拿到同样内容。但出题人通常会写：

if ($_SERVER['REQUEST_METHOD'] != 'GET') { die('only GET method allowed'); }

这种判断只拦了POST，但你用HEAD请求呢？PHP里$_SERVER['REQUEST_METHOD']照样是HEAD，依然会被拦。所以不一定会让你用HEAD绕过。真正常见的考法是反过来：要求你必须用GET，而且必须带某些特定的请求头。也有的题目会要求你用POST，然后在POST的数据里加上某参数。具体到这道题，我的复现过程里，第一关是提示“你应该用GET方法”，我直接访问本来就是GET，所以相当于白送。

但如果页面提示的是“Use POST method”，你就需要在开发者工具里把请求方法从GET改为POST，或者用curl的-X POST参数。这里提醒一个新手常犯的错误：在开发者工具的Network面板里，你可以右键请求选择“Edit and Re-send”，在弹出的编辑框里改方法。有些版本的浏览器不允许直接改请求方法，这时候用curl或者Postman更顺手。

如果要用Python requests，代码极简单：

import requests url = "http://target/" resp = requests.get(url) print(resp.text) print(resp.headers)

如果是POST：

resp = requests.post(url, data={})

不管用哪种方法，你需要关注的是响应内容是否变化。如果页面提示“方法正确”，通常会给你一段新文字，指向下一步操作。如果方法不对，页面会返回一个错误提示。这就完成了第一关。

3.3 踩坑记录：别忽略页面源码注释

在第一次复现这道题时，我的第一关反而卡了几分钟，原因是页面提示的文字太短，我忽略了查看源码。按F12切到Elements面板，或者直接在页面上右键选择“查看页面源代码”，你会在HTML注释里看到类似这样的内容：

<!-- hint: You should use localhost to access this site -->

这种注释在新生赛里极其常见。因为新生赛的靶场环境经常是容器化部署，服务器端判断访问者是否来自本机，通常会用$_SERVER['REMOTE_ADDR']或$_SERVER['HTTP_X_FORWARDED_FOR']。页面注释告诉你“你应该使用本地地址访问”，实际上就是要你伪造来源IP为127.0.0.1。这就是下一关的内容。

所以第一件事总结一下：打开页面后，先看响应头、再看页面源码、最后看响应正文。三处都可能埋线索。不要一上来就扫描目录、爆破参数，那是浪费时间的错误方向。

4. 第二关：伪造Referer来源，让服务器以为你从指定页面跳来

4.1 Referer是什么，以及出题人为什么爱考它

HTTP请求头里的Referer字段（正确的拼写其实是Referrer，HTTP规范里少写了一个r，后来将错就错成了标准）表示当前请求是从哪个页面跳转过来的。举个生活化的例子：你在逛电商平台时，从某个商品详情页点了“立即购买”跳转到支付页面，支付服务端就会记录你的Referer是那个商品详情页，用来做来源统计或防盗链。

服务器端可以通过读取$_SERVER['HTTP_REFERER']来判断请求来源。出题人在这道题里会在某个阶段判断你必须是“从某个指定页面跳转过来的”，如果你直接访问目标地址，Referer为空，服务器就返回错误提示。

常见的提示语是：

You must come fromhttp://xxx.com/

意思就是：你的请求头里必须带：

Referer: http://xxx.com/

有些新手会尝试先在浏览器里访问那个“指定来源页”，再点击页面上跳转到目标地址，让浏览器自动带出Referer。这确实是一种方法，但前提是那个“来源页面”真实存在且有跳转链接。更多时候，出题人给出的来源地址是虚构的，你根本无法访问到，这时候就需要自己手动在请求头里添加Referer。

4.2 利用开发者工具伪造Referer

最简单的方式还是用Chrome的Network面板编辑请求。操作方法如下：

1. 打开开发者工具，切到Network。
2. 右键左侧列表里对应http://target/xxx这个请求，选择“Edit and Re-send”。
3. 在右侧打开的编辑窗口里找到Request Headers区域，点击“双击空白处添加请求头”之类的按钮（不同版本浏览器交互略有差异），输入Referer和对应的值。
4. 点击发送，在下方看到新的响应结果。

如果你觉得浏览器编辑有点别扭，直接用Python更可控：

import requests url = "http://target/" headers = { "Referer": "http://xxx.com/" } resp = requests.get(url, headers=headers) print(resp.text)

这里有一个非常重要的细节：请求头字段名严格区分大小写吗？HTTP协议规定字段名不区分大小写，但为了规范，大家习惯用首字母大写的写法。而Python的requests库在处理headers字典时，会自动把键名按HTTP标准首字母大写，所以你写"referer"还是"Referer"都一样。但是如果你在Burp Suite里手工改包，一定要保证字段名拼写正确——Referer不是Referrer，少写一个r会导致服务器读不到值。

4.3 一个容易忽略的边界情况：Referer为空和Referer不允许

有时候服务器端会用PHP函数判断：

if ($_SERVER['HTTP_REFERER'] != 'http://xxx.com/') { die('referer error'); }

这种写法下，如果你没有传Referer，$_SERVER['HTTP_REFERER']不存在或者为null，判断就会失败。但有一种情况是服务器用了类似strpos函数来判断是否包含某字符串，而不是严格相等。比如说：

if (strpos($_SERVER['HTTP_REFERER'], 'xxx.com') === false) { die('referer error'); }

这种情况下，你只需要让Referer里包含xxx.com就算通过，比如写成http://xxx.com.evil.com/也能绕过。但新生赛大概率不会出这种trick，你按提示完整填入来源地址即可。

如果你提前用页面提示的方式判断题目考的是Referer伪造，可以先用浏览器随便访问一个网页，再在开发者工具里看请求头里自动携带的Referer格式，然后照着改。请求头里的其他字段不用动，只改Referer，不会影响其他逻辑。

5. 第三关：伪装User-Agent，识别浏览器身份

5.1 User-Agent与服务器指纹识别

User-Agent（UA）是HTTP请求头里一个非常有趣的字段，它用来告诉服务器“我是谁”。浏览器的UA字符串里通常会包含浏览器名称、版本、操作系统、渲染引擎等信息。比如Chrome浏览器的UA长这样：

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36

服务器端经常用UA来判断你用的是不是特定浏览器，或者是否来自搜索引擎爬虫。出题人在这一步常用的提示是：

Please use Chrome browser to access.

或者反过来要求你用某种古老的浏览器（比如IE6），这时候你需要把UA改成对应字符串。更有趣的考点是要求你伪造为Googlebot（谷歌爬虫），因为很多网站对爬虫有特殊响应。

但新生赛这道题大概率不会让你伪造成Googlebot，而是让你“伪装成某个浏览器”。我的实际操作中，题目页面的提示是：

You must use Firefox browser.

所以最简单的做法是把请求头里的User-Agent字段改成Firefox的UA字符串。这里要注意：如果你用的是Chrome浏览器，无论你装什么插件都无法真正让服务器认为你是Firefox，因为它读取的就是请求头里的UA字段。只要你在请求里写了Firefox的UA，服务器就会觉得你是Firefox浏览器——这就是伪造的本质。

常见的UA字符串：

Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0

如果你不知道该写什么，直接在地址栏输入about:config之类的操作太麻烦，更推荐到网上搜一下“Firefox UA字符串”，或者用你自己的浏览器开发者工具里自带的UA模拟功能。Chrome开发者工具在Network面板旁边有一个“设备工具栏”按钮，可以模拟各种设备的UA，但它模拟的是移动端，未必满足题目要求。还是手动改最稳妥。

在Python中，改UA同样是修改headers字典：

headers = { "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0" }

5.2 连锁前两关：一次性带上三个头

到了这一关，你应该意识到：前面的Referer、现在的UA、以及隐藏的来源IP，可能需要同时满足。所以不建议一关一关地在浏览器里手动改，最好直接用脚本统一管理。我推荐的做法是写一个Python脚本，把所有已知条件一次性放进headers里发送，然后根据响应内容逐步调整。

示例代码：

import requests url = "http://target/" headers = { "Referer": "http://xxx.com/", "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0", } resp = requests.get(url, headers=headers) print(resp.status_code) print(resp.text)

如果页面仍然报错，比如提示“来源错误”或“浏览器不对”，就逐个排查是哪个头不对。排查方法很简单：先用浏览器正常访问，确认页面提示要求什么；再在脚本里只加对应头，其他头保持Python默认值；最后再逐渐叠加。不要一次性加上所有头，否则出错时都不知道是谁的问题。

我还遇到过一种情况：题目不仅要求UA为Firefox，还要求Referer必须为空。这时候你就要注意脚本里不要自动添加Referer字段，否则反而会失败。多加的请求头在某些严格判断的服务器下可能成为累赘。所以，熟练使用“编辑与重发”功能进行单步测试，比什么都重要。

6. 第四关：X-Forwarded-For伪造IP，模拟本地访问

6.1 为什么服务器会相信XFF头

X-Forwarded-For（简称XFF）是HTTP扩展头，最初由代理服务器引入，用来记录原始客户端的IP地址。正常情况下，当你通过反向代理访问后端服务时，后端看到的是代理服务器的IP，而不是你的真实IP，于是代理就会把原始IP写进XFF头传给后端。后端如果要获取用户真实IP，就要读取这个头。

但问题也随之而来：如果服务器直接部署在公网，没有经过代理，它本身就应该关心TCP连接层的对端IP，而不是信任HTTP头里可能被伪造的XFF。但很多开发者图省事，直接写：

$ip = $_SERVER['HTTP_X_FORWARDED_FOR'];

这就等于对来访者说：“你自己告诉我你的IP吧，我信你。”所以这道题里出现“你应该以本地身份访问”这种提示时，十有八九就是要你伪造XFF头为127.0.0.1。

有些题目还会通过Client-IP或X-Real-IP头来判断，但新生赛最常见的还是XFF。因此见到“本地访问”提示，优先尝试：

X-Forwarded-For: 127.0.0.1

6.2 通过脚本逐关验证XFF

实际复现这道题时，我在第三关后看到的提示是“当前访问不是来自本机，禁止访问”。看到这句，我立刻想到XFF伪造。在Python脚本里加上：

headers = { "X-Forwarded-For": "127.0.0.1" }

再访问一次，页面果然跳到了下一段提示。这里有个小技巧：如果XFF加了还是不行，可以尝试将XFF和Client-IP同时加上，值都为127.0.0.1。有些老代码会先读HTTP_CLIENT_IP，读不到才读HTTP_X_FORWARDED_FOR，而你只加XFF没有Client-IP，就会失败。

另外，有些服务器端不是简单读取XFF里第一个IP，而是用explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])分割字符串后取某个位置的IP。但新生赛基本不会搞那么多花样，直接用127.0.0.1就能过。

6.3 如何避免被误导：IP伪造的本质是什么

这里需要澄清一个概念：伪造XFF并不会让你的真实IP变成127.0.0.1，服务器在TCP层面看到的仍然是你的真实出口IP。所谓的IP伪造，只是在应用层让服务端程序误以为你来自某个IP。如果目标服务器上有基于IP的封禁策略且实现在防火墙层面（根据TCP连接来源IP封禁），那么伪造XFF是完全没有用的——因为防火墙根本不看HTTP头。因此，在做这类题目时不要觉得“我伪造了IP，是不是就真的能绕过所有IP限制”，你只是绕过了应用层那个简单的判断。

这也是一个很重要的“为什么”：为什么出题人要考XFF？不是因为CTF里IP能随便改，而是为了提醒你，服务器端不要盲目信任请求头。但作为做题者，你要知道伪造的程度仅限于此。理解了这一层，后面做任何涉及IP判断的题目，你首先会确认判断发生在哪一层。

7. 最终绕过：组合所有条件拿flag

7.1 完整请求的构造思路

经过前面四关，我们已经积累了三条可能需要的请求头：

• Referer指向特定页面
• User-Agent伪装成指定浏览器
• X-Forwarded-For为127.0.0.1

有些题目的关卡是串联的：你必须先满足方法要求，再满足Referer，再满足UA，最后满足IP，每步通过后页面给下一步提示。但在实际编码中，你不需要一步步去调，可以直接把构造好的完整headers一次性发出去。如果一次就通过，说明这些条件之间是“与”的关系；如果报错，再根据报错内容删减某个头。

我的实践里，最终构造的headers如下：

import requests url = "http://target/" headers = { "Referer": "http://xxx.com/", "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0", "X-Forwarded-For": "127.0.0.1" } resp = requests.get(url, headers=headers) print(resp.text)

注意一点：Python requests库默认情况下不会自动添加X-Forwarded-For，也不会自动添加Referer，所以你设置什么就是什么，很容易控制。但如果是在浏览器开发者工具或Burp里改包，还要注意浏览器可能自动添加的一些字段（比如Accept、Accept-Language、Cookie等），这些通常不影响题目判断，不用刻意删除。

7.2 最后的flag可能藏在响应页面或响应头

当所有条件都满足后，响应页面通常会显示一段“恭喜你”的文字，flag就明晃晃地写在里面。格式一般是flag{...}，比如：

flag{you_know_http_well}

但有的题会再做一层包装，把flag藏在响应头里，比如：

X-Flag: NSSCTF{xxxx}

或者在页面的HTML注释里。所以拿到响应后，不要只看body，一定要把resp.headers也打出来。可以用：

print(resp.headers)

还有可能是Base64编码过的flag，你需要手动解码。所以完整脚本的最后一步应该是同时打印text和headers：

print(resp.text) print(resp.headers)

如果你发现响应里没有flag，但页面提示“你已经完成了所有步骤”，那flag极有可能就在响应头里。用浏览器实际操作时，记得在Network面板里查看那个document请求的Headers标签页，往下拉能看到Response Headers部分。

7.3 用curl一行命令完成整个请求

如果你不想写Python脚本，也可以直接用curl命令把请求头一股脑带上。Windows 10自带curl，Linux和macOS也有，非常方便：

curl -H "Referer: http://xxx.com/" \ -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0" \ -H "X-Forwarded-For: 127.0.0.1" \ http://target/

-H参数表示添加请求头。如果需要POST，再加个-X POST。这种命令行方式在CTF刷题时非常高效，我比较推荐新手养成“用curl验证、用脚本批量”的习惯。因为curl的输出干净，没有浏览器各种额外请求干扰，也不会因为代理插件导致请求头不干净。

8. 常见问题与排查技巧实录

这道题虽然简单，但新手在实际操作中还是会遇到各种莫名其妙的问题。我把自己踩过的坑和身边同学问过的问题整理成一份速查表，如果你卡住了，按下面顺序排查，一分钟内基本能定位。

除了这些问题，还有一个非常隐蔽的坑：有些新生赛靶场有“防本地访问”的WAF层，它可能在网络层面就拦截了来自本地地址的请求（这听起来很矛盾，但某些云环境会做反向代理，要求来源IP必须是公网地址）。碰到这种情况，伪造XFF反而被拦，此时你需要去掉XFF，真接访问。但这种情况比较少见，如果遇到，建议联系题目维护者确认环境问题。大部分新生赛题目不会这么复杂。

在写脚本的过程中，我建议你养成一个习惯：每次请求后先打印响应状态码。如果状态码是302跳转，那么你直接打印text可能只得到跳转页，拿不到后续内容，需要使用allow_redirects=False或者session来处理跳转。不过这类题目一般很少用302，因为出题人希望页面提示更直接。但万一遇到了，不要慌，打印resp.url和resp.history就能看到跳转链条。

还有一个小经验：不要在公网环境下同时开着代理和requests脚本。比如你正在用代理工具抓包，requests默认不读系统代理，可能导致请求不到。此时应该显式设置环境变量，或直接用proxies参数关闭代理。如果你只是跟着我的脚本走，大概率不会遇到，但一旦遇到连不上的情况，优先检查代理设置。

9. 类似题型的判别方法与扩展思考

做完这道题之后，你会发现它其实就是Web方向里最常见的“请求头伪造”套路。类似的题目在其他比赛里也经常出现，只是换了个马甲。比如题目叫“请使用管理员身份访问”，实际上要改X-Admin-User头；题目叫“只有本地用户才能下载”，实际上要改X-Forwarded-For；题目要求“从百度搜索过来”，实际上要改Referer。这些都是同一套知识点的不同包装。

如果你能熟练掌握三种能力，以后遇到这类题基本可以秒杀：

1. 能快速查看并理解请求头、响应头中每个字段的意义。
2. 会使用至少两种方式修改请求头（浏览器开发者工具、Python requests/curl）。
3. 会读服务器端伪代码或推测服务端语言，理解它可能判断哪个头。

而这道题背后真正值得思考的点在于：为什么HTTP头可以被随意伪造？因为HTTP协议本身是无状态的明文协议，请求头是客户端单方面声明的信息。服务器端如果把这些信息当作可信来源，就会出现这类“信任边界”问题。现实中的网站很少会直接用XFF头来判定用户是否来自内网，但确实有一些应用为了配合代理网关，错误地相信了客户端提交的XFF值，从而被绕过IP白名单。这一点在做真实渗透测试时也有参考意义——永远先尝试在请求头里添加代理相关字段，有时候会有惊喜。

如果你还想继续深入，可以试试做一道变体题：把请求方法改为OPTIONS，看服务器返回的Allow头支持哪些方法。如果有额外的PUT方法，试着上传一个webshell试试。当然这只是扩展思路，新生赛不会这么要求，但你可以通过这些实验加深对HTTP协议的理解。

最后分享一点我做题的体会：这类题目最忌“不看提示瞎尝试”。出题人其实已经把答案放在页面上了，你只需要把HTTP请求按照要求“装扮”一遍。这就像你去参加一个化装舞会，门口保安检查的是你有没有穿指定主题的服装——HTTP头就是你的服装，伪造头就是换装。你不需要入侵安保系统，只需要穿对衣服。当你理解了这一点，就拿到了这一类题的通关钥匙。

如果你自己在做的时候遇到了我上面没提到的坑，欢迎记录下来分享给更多人。CTF本来就是“踩坑-总结-再踩坑”的过程，每道题都是学习HTTP协议的好教材。这道题虽然简单，但它把Referer、User-Agent、X-Forwarded-For三个最常被考的核心头全部带了一遍，做完一遍等于系统的复习了一遍HTTP请求头知识，性价比极高。