一、引言：HTTP 请求头为什么是 CTF Web 的必考点？

在 Web 开发与网络安全中，HTTP 是所有数据交互的基础，而 HTTP 请求头 则是浏览器与服务器之间传递 “附加信息” 的核心通道。

很多 CTF 入门题，并不考复杂漏洞，而是考你是否真正理解 HTTP 请求头。 MoeCTF 2021 的 Do you know HTTP 就是最经典的例题： 题目提示： “浏览器已经不够用了，试试 burpsuite！”

这句话直接点明： HTTP 请求头可以被手动修改，服务器会根据请求头执行不同逻辑。 本文就从这道题出发，带你彻底掌握 HTTP 请求头的原理、格式、考点与实战技巧。

---

二、HTTP 请求头基础概念

HTTP 请求头是浏览器发送给服务器的描述性信息，格式为： 键：值

一个最常见的请求头示例：

plaintext

GET / HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Cookie: username=test
Referer: https://www.baidu.com
X-Forwarded-For: 127.0.0.1

这些字段决定了： 你是谁、来自哪里、用什么设备、什么语言、是否登录、真实 IP…… 而 CTF 最常考的，就是修改这些字段欺骗服务器。

---

三、实战例题：MoeCTF 2021 Do you know HTTP 详解

这是一道最经典的请求头入门题，几乎所有 CTF 新手都会遇到。

1. 题目考点

修改 HTTP 请求头，改变身份，获取 Flag。

2. 题目逻辑

服务器通过请求头中的 Cookie 判断你是不是 VIP：

• Cookie: VIP=0 → 普通用户
• Cookie: VIP=1 → 管理员 → 返回 Flag

3. 解题步骤

1. 打开 Burp Suite 抓包
2. 浏览器访问题目地址
3. Burp 拦截到请求
4. 修改请求头中的：

   plaintext

   Cookie: VIP=1
   

5. 放包，服务器直接返回 Flag。

4. 题目总结

这道题告诉我们： HTTP 请求头完全可控，服务器不能盲目信任请求头。 CTF 里 80% 的简单 Web 题，都在考这个思路。

---

四、CTF 必考 HTTP 请求头大全（表格速记版）

下面是 CTF 出现频率最高的请求头，背会就能秒解大量题目。

表格

请求头	作用	CTF 常考方式
Host	指定访问的域名	伪造 Host 访问隐藏页面
User-Agent	浏览器标识	要求必须是 “手机 / 爬虫 / 指定浏览器”
Referer	请求来源页面	校验必须来自某网站
Cookie	身份凭证	越权、修改身份
X-Forwarded-For	客户端真实 IP	伪造本地 IP 127.0.0.1
Accept-Language	语言	必须中文 / 英文才能访问
Authorization	登录凭证	伪造登录状态

---

五、为什么做 CTF 题要用 BurpSuite？

你可能会问： 浏览器不能改请求头吗？为什么要用 Burp？

原因很简单：

1. 浏览器只能改部分请求头，不能完整编辑原始报文
2. 浏览器会自动补全字段，影响题目判断
3. Burp 可以任意增删改任何请求头，完全模拟原始请求

CTF 的核心就是： 发送服务器 “期望的请求”，而不是浏览器默认的请求。

---

六、HTTP 请求头类题目通用解题思路

遇到任何 HTTP 请求头题目，都按这个流程：

1. Burp 抓包，查看原始请求
2. 观察题目提示：
   • 要本地访问 → 改 XFF
   • 要特定浏览器 → 改 User-Agent
   • 要登录 → 改 Cookie
   • 要来源页面 → 改 Referer
3. 修改对应请求头
4. 重放请求，拿到 Flag

这就是 CTF Web 入门的万能解题模板。

---

七、全文总结

1. HTTP 请求头是浏览器发给服务器的身份信息，可任意修改。
2. CTF 入门题 90% 都在考请求头伪造。
3. 最常考：Cookie、XFF、User-Agent、Referer、Host。
4. 浏览器做不到的修改 → Burp Suite 一把梭。
5. 服务器信任请求头 = 安全漏洞 = CTF 送分题。

HTTP 请求头是 Web 安全的第一课，也是最重要的一课。 只要搞懂它，你就能轻松拿下 CTF 大部分简单 Web 题目。