SWPUCTF 2021 新生赛里有一道叫 Do_you_know_http 的题名字看起来轻飘飘的像在问你真的懂HTTP吗可每年新生在上面卡住的不在少数。作为一个常年看新生在Web入门题里挣扎的老选手我觉得这道题最大的价值不是那点flag而是它逼着你去把HTTP协议里最基础但又最容易被忽略的东西捋清楚请求长什么样、服务端靠什么判断你的身份、状态码到底在说什么。这篇文章就从这类题目的视角把HTTP协议的核心知识拆开讲透顺便说说我在实际做题和带新人过程中踩过的坑。适合刚接触CTF Web方向、或者看完题目解析还是一头雾水的朋友。1. HTTP协议到底是什么——没背熟基础前别碰Web题1.1 一次HTTP请求的完整结构很多人背过HTTP是超文本传输协议但真到做题时连一条请求报文长什么样都说不全。这里我习惯把HTTP请求拆成三块请求行、请求头、请求体。请求行是最上面那一行格式是方法 URL 协议版本。比如GET /index.php HTTP/1.1。它告诉服务器三件事我要干什么、我要访问哪个资源、我用什么版本的协议说话。新生最容易犯的错是把URL和URI混着说其实做题时你不用纠结这俩的学术区别只要知道请求行里的路径是服务器用来路由的关键信息就够了。请求头是从第二行开始的一堆字段名: 值形式的键值对。Host、User-Agent、Referer、Cookie、Content-Type……这些字段是服务器判断你是谁、你从哪来、你想干什么的主要依据。很多HTTP题的机关就埋在这些头字段里服务端会偷偷检查其中某一个值不满足条件就给你刷下去。请求体不是每个请求都有一般GET没有POST、PUT这类方法才会带。常见格式有application/x-www-form-urlencoded、multipart/form-data、application/json等。做题时如果服务器返回参数缺失之类的提示除了看请求体内容还要检查Content-Type是不是和服务器预期一致——这是我见过最多的低级翻车点之一。1.2 无状态、无连接、可扩展HTTP协议有三个特性值得用做题的视角去理解无状态、无连接、可扩展。无状态的意思是服务器默认不记得你上一次来过。第一次请求和第二次请求之间没有任何关联所以服务器才需要Cookie、Session这类机制来记住你。在做题时很多看似神秘的登录后才有权限逻辑本质就是服务器通过Cookie里的凭证比如session id来恢复状态。无连接在HTTP/1.0时代指一次请求完成后就断开TCP连接HTTP/1.1开始默认开启Keep-Alive连接可以复用。不过这个概念在新生赛里几乎不会直接考知道有这回事就行。可扩展才是关键。HTTP允许自定义头字段这给了服务器很大的自由发挥空间。有的题目会让你加一个特定的自定义头比如X-Custom-Flag: 1才能拿到下一步提示。你在浏览器里没法直接加头只能靠抓包工具手动构造这也是为什么我说不会用Burp SuiteHTTP题就等于废了一半。1.3 为什么新生赛总拿HTTP开刀新生赛选HTTP当考点是因为它足够基础、足够常用而且能天然串联起后面一大片Web知识。Cookie和Session是后续逻辑漏洞题的基础。请求头伪造是SSRF、CSRF、越权等漏洞的入门砖。状态码理解不到位后面做文件上传、SQL注入的绕过也会稀里糊涂。换句话说Do_you_know_http这类题本质上是一块试金石HTTP基础牢不牢做两道题就能看出来。如果你现在还在靠复制粘贴别人的Payload做题我建议先把这篇文章讲的东西吃透再回去看那些漏洞原理你会发现突然开窍了。2. 那些决定放行还是拦截的状态码2.1 状态码家族速查表服务器处理完请求后会返回一个状态码告诉你结果。状态码是三位数字第一位表示类别。我给新生整理过一张极简表你花十分钟记住它后面做题能少查十次百度状态码范围含义做题常见场景1xx信息性响应很少见到无视2xx请求成功200正常、204无内容3xx重定向302跳转、304缓存经常藏着猫腻4xx客户端错误403禁止、404不存在、405方法不允许5xx服务器错误500内部错误多半是服务器自己炸了实际做题时你只需要对 200、302、403、404、405 这几个特别敏感就行。每一个非200的状态码都在给你传递信息而不是简单地告诉你这题做错了。2.2 403和405看似拒绝实则在提示403 Forbidden 是HTTP题里出场率最高的状态码之一。很多新生看到403就觉得自己无权访问然后开始怀疑人生。但你要明白403代表服务器认识你这个请求只是在某个校验环节没通过。它可能是在检查IP、检查User-Agent、检查Referer甚至是在检查某个特定Cookie值。这时候正确的做法是去翻请求头看服务器到底在比对什么。405 Method Not Allowed 更是明显的提示不是不让你访问而是不让你用这个姿势访问。当你用GET访问一个只接受POST的接口或者反过来就会收到405。常在题目里出现的情况是页面本身是GET打开的但某个关键动作必须用POST触发或者必须用PUT、OPTIONS等其他方法。服务器有时候还会在响应头的Allow字段里直接告诉你支持哪些方法一抓包就能看见。2.3 302跳转里经常藏着下一步线索302 Found 表示服务器让你去另一个地址。做题时不跟随跳转是个好习惯因为响应的Location字段和Set-Cookie字段往往比跳转后的页面更有价值。我见过不少题目把flag或者提示放在302响应的响应体里你要是让浏览器自动跟着跳走了这段内容就直接消失了。所以用Burp Suite重放请求时记得在设置里关掉自动跟随重定向手动看每一步响应。类似的道理也适用于304 Not Modified——你以为服务器没返回内容其实它是想让你用缓存而缓存里可能就是上次藏着的东西。关于状态码我给新人的建议是永远不要只记数字要把状态码当成服务器在跟你说话。它考的不是你背没背下来而是你能不能从它的语气里判断出下一步该做什么。3. 请求头里的三个高频考点UA、Referer、XFF3.1 User-Agent服务器以为你是谁User-Agent简称UA是客户端在请求时自报家门的字段告诉服务器我是Chrome、是Firefox、是curl、还是某款爬虫程序。正常情况下的浏览器UA很长看起来是一大串包括浏览器版本、操作系统、内核等。而服务器完全信任这个字段不做额外验证。这就意味着任何人可以随意伪造UA让它看起来像任何东西。新生赛里最常见的考法是服务器要求特定UA才能访问比如只允许Windows Chrome访问甚至可能要求UA为题目暗示的某个值。我的做法是先用浏览器正常访问一次拿到默认UA然后把UA整体替换成题目提示的内容再重放。替换时注意别手滑把两边的引号或空格复制多了UA字段的精确匹配是很多翻车事故的源头。3.2 Referer你从哪一页跳过来的Referer字段表示来源页面也就是你上一个访问的URL。服务器可以用它来防止跨站请求也可以用它来限制必须从本站的某个页面跳转过来才能访问这个资源。做题时的经典场景是请在本地访问或者请从admin.php跳转过来。你直接访问目标URL会碰壁但只要在请求头里加上Referer: http://目标站/admin.php就能通过。这个字段也是可以完全伪造的服务器同样不会验证Referer和你实际访问路径是否一致。我说过很多次HTTP的每个头字段本质上是客户端对服务器的一份自我介绍。你说是谁服务器默认就信一半——然后通过它自己设定的校验条件试图抓出谎言。搞清楚服务器在校验什么是你做这类题的核心任务。3.3 X-Forwarded-ForIP身份与伪造边界X-Forwarded-For简称XFF是另一个高频考点。它原本是代理服务器用来传递客户端真实IP的字段。当你的请求经过多层代理时每一层都可能往XFF里追加一个IP排在最前面的就是原始客户端的IP。服务器如果基于XFF来判断IP就会出现明显的绕过空间直接在请求头里加X-Forwarded-For: 127.0.0.1服务器就会认为你是来自本地的访问。新生赛里仅允许本地访问的题目十有八九就是在等你去伪造这个头。类似的还有X-Real-IP、Client-IP等字段都是用来传递IP信息的服务器如果取的是这些值你也得对着伪造。这里要提醒一句不要因为有XFF就以为所有IP校验都这么简单。真实场景里配置正确的服务器会优先取TCP连接的真实IP忽略XFF头。但新生赛教的就是存在这个字段、可能被信任、如何测试。你在靶场里怎么伪造都不出问题如果将来做真实渗透测试必须明白什么时候能伪造、什么时候不能否则会得出错误的结论。3.4 冷门但可能出现的头X-Forwarded-Proto、Accept、Content-Type除了上述三个高频头还有几个字段偶尔会出现在题里。X-Forwarded-Proto用于表示原始请求是HTTP还是HTTPS某些服务器会用它来判断是否强制加密。Accept表示客户端希望接收的响应类型极少数后端框架会根据Accept字段返回不同格式比如纯文本或JSON。Content-Type是请求体的格式声明服务器解析POST数据时依赖它如果写错你可能发了一堆参数但服务器什么都读不到。我的建议是做题时只要看到非默认值的头字段都值得手动改一次试试因为这意味着出题人没有用默认配置刻意改了服务器逻辑。4. 藏在响应里的信息——别忽视服务器的回话4.1 响应头与Set-Cookie服务器给你的第一波信息你发出去每个请求服务器都会回一大串响应头。很多新手只盯着响应体看把响应头当作无关紧要的元数据。实际上响应头里经常藏着直接线索或间接提示。Set-Cookie字段用来下发Cookie。题目可能会在登录后下发一个权限不足的Cookie或者在特定动作后下发一个包含提示的Cookie值。用Burp Suite看响应时Set-Cookie一出现基本就说明服务器在维护状态接下来你需要把这个Cookie带到后续请求里。还有的响应头本身就有意义比如Server: nginx、X-Powered-By: PHP/7.4能告诉你服务器技术栈Location能告诉你跳转目标。我看到过一道题flag就明晃晃地写在响应头的自定义字段里名字叫什么X-Flag你不看响应头根本发现不了。4.2 HTML注释与前端源码响应体的HTML里注释是出题人最爱藏东西的地方之一。!-- flag --这种操作很幼稚但每年都有人漏掉。我的习惯是拿到响应后立刻快速扫一遍HTML重点看三处注释、隐藏的input框、script标签里定义的变量。隐藏input框typehidden经常用来存提示。script里的变量可能是下一步请求的参数也可能是加密后的提示信息。老实说以现在的出题风格直接把答案放注释里的题少了但提示藏在源码里依然是新生赛的主流玩法。4.3 响应体里的非预期内容有时候你以为访问的是一个纯HTML页面响应里却夹着JSON数据、空行、或者怪异的文本。这些内容可能是调试模式的输出、错误信息、甚至是服务器的报错堆栈。遇到这种情况第一件事是别急着关掉把整个响应体复制下来逐行看。我还见过一种情况同一路径用不同方法请求返回的响应体完全不同。GET给的是登录页POST给的是接口数据。所以做HTTP题时一个路径至少要试GET和POST两次甚至要试PUT、OPTIONS别只用浏览器默认的方法访问一遍就下结论。5. 新手做HTTP题的完整排查链路5.1 第一步永远是浏览器开发者工具很多新生一上来就开Burp Suite我对此不太赞成。浏览器开发者工具F12已经能完成90%的观察工作Network标签页里能看到请求头、响应头、响应体、Cookie、时序一目了然。关键是它还自带浏览器环境不会有证书报错、代理配置等乱七八糟的问题。我的建议流程是先用F12的Network刷新页面找到目标请求点开看Headers和Response。这一步能解决大部分状态码问题和简单的头字段校验问题。新手最容易忽略的是Network面板里默认只开启了部分列记得右键把Method、Status、Type这些列都显示出来不然看着会很混乱。5.2 需要改包时的正确姿势当确定要手动修改请求头时我推荐一步一步去用Burp Suite不推荐直接用浏览器的F12改请求虽然DevTools现在也支持编辑重放但功能上限太低。Burp Suite的基本流程就四步配置代理通常是127.0.0.1:8080、安装CA证书HTTPS需要、打开Intercept开关拦截请求、Send to Repeater手动修改重放。每次修改一点观察响应变化这是做HTTP题最核心的循环。如果你第一次配置Burp最容易卡在证书上。我的建议是直接去Burp官网下载最新的社区版按照官方文档装证书。装完之后浏览器会提示代理可能窃听这个问题很小只需要在代理设置里把本地地址localhost、127.0.0.1加入例外绝大多数题就能正常访问了。5.3 假设-验证-修正的循环做题的核心思路其实和调试程序一样先根据现象提出一个假设再设计一个请求验证假设根据响应结果修正假设循环往复。千万不要一次改七八个头然后再发出去那样你永远不知道是哪一步起了作用。举个例子如果服务器返回403你的假设可能是它在检查UA。验证方式把UA改成常见浏览器UA重放看403是否消失。如果没消失改成空UA试试。如果还没消失检查Referer。一次只动一个变量效率反而最高。我还建议记录每次请求的完整请求头和响应头。很多题的线索是一步步给的第一步拿到提示第二步修改某个头后提示更新。没有记录的选手往往要反复从头做起浪费时间。用Burp的History或者直接贴在文本文件里都行。5.4 从响应反推服务器校验逻辑高级一点的技巧是从响应差异推断校验逻辑。比如你改了一个头之后状态码从403变成200说明这个头被纳入了校验。再比如你改了某个值之后响应体里的报错信息变化了说明解析逻辑走到了不同分支。判断校验顺序也是个有意思的点。有的服务器先查IP再查UA有的先查方法再查Referer。做题时如果发现一个条件满足了但还是被挡回去别急着认为是这个条件不对可能是前置条件还没过。这时候把请求恢复成最原始状态逐项添加满足项能更快定位到卡点。6. 我在新生赛里反复见过的翻车现场6.1 大小写、空格与回车差异HTTP头的字段名是大小写不敏感的但值通常区分大小写会精确匹配。我看过太多新生因为UA写成Chrome而不是题目要求的Chrome/xxx.0而全盘崩溃。另外请求头的冒号后面到底要不要加空格HTTP规范里字段值前可以有可选空格但有些服务器解析得比较严格你手动添加的时候如果多了一个空格值就变成了 127.0.0.1带前导空格的值匹配不上就很容易出问题。这类问题我统一建议能用Burp自动生成请求结构就别手打。Burp从历史记录里Send to Repeater时请求头是原样复制的不会引入额外空格。凡是需要手动输入URL的场景复制粘贴的时候看清首尾有没有多余字符。6.2 URL编码与原样传递URL编码百分号编码也是一个高频翻车点。路径里的特殊字符、参数里的中文字符、甚至Cookie里的分号都需要按规则进行URL编码。做题时如果你改了参数但它怎么都不生效检查一下你是不是把汉字、空格、引号直接塞了进去这些都需要编码后传输。另一个容易混淆的是URL编码后的字符串到底该用一次编码还是二次编码新生赛一般只考一次但遇到转跳场景偶尔会出现二次编码。判断方法很简单先用一次编码发送如果服务器提示参数错误或解码失败再试试二次编码。6.3 工具选型与本地环境最后聊两句工具。做HTTP题有人喜欢curl命令有人离不开Burp有人用Python脚本构造请求。我个人的建议是至少要掌握curl和Burp Repeater两种方式。curl适合快速测试某个请求在终端里改头、看响应非常高效Burp适合需要多次交互、查看历史记录的场景。Python的requests库也值得会写个小脚本可以自动化测试多个条件判断但要记住设置好超时和重定向参数防止脚本卡死在302上。本地环境方面注意关闭系统代理或者把靶场地址加进代理例外。我见过有人因为开了全局代理Burp的请求和浏览器的请求走了不同链路导致在浏览器里能开页面、在Burp里重放却全是504超时。这种低级错误排查起来真的很浪费时间。总的来说Do_you_know_http这类题目考查的东西既不神秘也不偏门就是HTTP协议的基础功请求结构、状态码、请求头、响应分析再加一点抓包工具的使用熟练度。如果你能把这篇文章里提到的这些点都自己动手验证一遍往后遇到任何新生赛Web题至少不会再有不知道从何下手的无力感。我个人在带新人时的体会是HTTP这一关跨不跨得过去往往决定了后面学Web漏洞是越学越顺还是越学越懵——所以别嫌它基础基础的东西最值得扎扎实实过一遍。