ctf.show题目练习

一、源码泄露

审查源码，在源代码中即可找到flag

二、JS前台绕过

在该题目中，右键页面无法调出工具栏，可以直接使用快捷键Ctrl+u调出页面源代码，即可找到flag

三、协议头信息泄露

检查网页，在network下查看，flag在响应头中

四、robots后台泄露

在url后加上robots.txt即可找到flag信息

五、phps源码泄露

通过提示访问主页，添加phps及php文件后缀，发现自动下载了index.phps文件

更改后缀名为txt，打开即可找到flag

六、源码压缩包泄露

通过提示和响应头判断是zip压缩，然后访问www.zip

下载了压缩包后，发现fl000g.txt文件，打开后没有找到flag，直接在网页中访问fl000g.txt文件，即可找到flag

七、版本控制泄露源码

直接扫目录，找到.git文件

八、版本控制泄露源码

还是扫目录，找到.svn文件

九、vim临时文件泄露

vim临时文件泄露 vim是linux自带且常用的文件编辑器，vim在编辑时会生成一个隐藏的临时文件，当vim非正常关闭时这个文件就会被保留下来。 使用vim时意外退出，会在目录下生成一个备份文件，格式为 .文件名.swp，访问/index.php.swp下载备份文件，用记事本打开即可 。

十、cookie泄露

f12检查查看cookie

十一、域名txt记录泄露

这道题被修复了，可以DNS查询工具查询域名TXT记录

十二、敏感信息公布

robots.txt 查看用户名 密码为最后的电话 admin进行登录 拿到flag

十三、内部技术文档泄露

点击网页最下面的document 文档里有后台账号密码

十四、编辑器配置不当

访问/editor，插入文件，找到flag

十五、密码逻辑脆弱

qq邮箱居住地西安，直接重置密码

十六、探针泄露

访问/tz.php ctrl+f 查找flag

十七、CDN穿透

已修复，锁定最早出现该地址所有者显示为“腾讯云计算（北京）有限公司”的条目，其对应ip即真实IP，如下
111.231.70.44 中国 深圳市腾讯计算机系统有限公司 2020-08-20

十八、js敏感信息泄露

在js代码中看到成功的输出
\u4f60\u8d62\u4e86\uff0c\u53bb\u5e7a\u5e7a\u96f6\u70b9\u76ae\u7231\u5403\u76ae\u770b\u770b unicoide解码，根据提示找到flag

十九、前端密钥泄露

查看源代码发现使用aes加密，根据加密方式和下面注释的密码解密出来明文

二十、数据库恶意下载

/db/db.mdb