ctf.show 敏感信息泄漏20题

1.直接查看网页源码

2.ctrl+u查看源码

3.抓包

4.在网址后面加上后缀/robots.txt访问，找到flag

5.直接在网址后面加上/index.phps，出来一个文件，打开找到flag。

6.在网址后面加上/www.zip，打开下载的压缩包，php文件说flag在txt中，实际上txt中并没有

 在网址后面加上fl000g.txt访问，得出flag

7.直接在后面加/.git/得到flag

这里是 .git 源码泄露。
是由于运行git init初始化代码库的时候，会在当前目录下面产生一个.git的隐藏文件，用来记录代码的变更记录等等。在发布代码的时候， .git 这个目录没有删除，直接发布了。使用这个文件，可以用来恢复源代码。

8.加/.svn，得到源码

9.vim意外退出会留下.swap备份文件，网站后+/index.php.swp得到flag

10.直接f12在表头找cookie，flag就在这里

11.在线域名解析记录检测-在线Nslookup域名解析查询工具 (jsons.cn)

使用此工具对域名进行解析

12.原来是电话号码啊

加上/admin/，然后admin是用户名，电话号码就是密码了

13.

加 /system1103/login.php  输入账号密码

14.题目提示editor

得到路径/editor/attached/file/tmp/html/nothinghere/fl000g.txt

只访问后面的nothinghere/fl000g.txt得到flag

15.登录点忘记密码

出生城市有提示西安

得到重置的密码

拿到flag

16.加/tz.php

17.

没看懂咋回事儿，下面的flag就是答案直接交就行了

18.啊，101分，我最多活到第四个柱子

F12打开调试器，找到js文件，进行Unicode解码

Unicode与中文 编码/解码 - 锤子在线工具 (toolhelper.cn)

加上110.php

这些大佬真有意思啊，感觉好像在挖彩蛋一样

19.

F12下面就有账号密码

但是直接输入还是错了

用hackbar的post注入 

pazzword=a599ac85a73384ee3219fa684296eaa62667238d608efa81837030bd1ce1bf04&username=admin

得到flag

20.加上/db/db.mdb

txt打开下载的文件找flag