web40: 根据题目启动环境: 查看源码发现flag,bas64解码发现是假的flag: 于是,就日常扫一下目录: 发现:/.git/ 于是想到git 信息泄露,又根据题目提示在kaili下利用git: 在kali中递归下载 .git目录文件 得到一个文件夹: 在下载后的这个目录: 利用命令:git reflog 在利用命令一个一个查看commit id :git show commit id (例:git show e0b8e8e )得到flag: