本文介绍了作者在准备CTF比赛时遇到的2048游戏挑战，通过分析HTTP缓存中的ETag，发现.git源码泄露，最终通过Git操作获取到flag。同时，分享了在2018-SUCTF-Homework中进行代码审计的经验，并提及了在WordPress网站中进行安全扫描的工具和心得。
为了准备四月下旬的校赛， 豁出去了
2048
首先进去之后是这样一个界面
2048是我喜欢的一个游戏，
然后我女朋友把它玩到了2048， 却啥也没出现。。
网站做的很流畅， 但是我一点思路都没有
开始抓包
GTE请求
发现了一个ETag的东西， 怎么把其下载下来呢？
response响应
怎么把它下载下来呢？
...
扫描后台也没有发现什么， 重点应该就是放在这个压缩包了
Etag 是URL的Entity Tag，用于标示URL对象是否改变，区分不同语言和Session等等。具体内部含义是使服务器控制的，就像Cookie那样。
HTTP协议规格说明定义ETag为“被请求变量的实体值” 。另一种说法是，ETag是一个可以与Web资源关联的记号（token）
既然是一个资源实体，那应该怎么下载下来呢
想必许多网友都有订阅某些大虾的RSS的习惯吧，但是大虾也是人，也要吃饭睡觉打豆豆，所以不可能无时无刻的在从事文学创作，因此一般产量较高的大虾也许平均每天能更新两篇已经是不错了，但是网友们却总是不断的去刷新RSS订阅的内容，期望在下次刷新
最低0.47元/天 解锁文章
扫一扫
2785
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
