bugku source

1.打开页面啥也没有，源代码里面假的flag，他说让用Linux那就用，dirsearch，可以用于扫描敏感文件

dirsearch -u 域名

然后还有个kali工具叫gobuster(web目录扫描工具)

gobuster dir -u 域名 -w /usr/share/wordlists/dirb/common.txt

后面的是字典大家的kali文件位置应该都一样

这里扫到了git源码泄露

下载源码

wget -r http://114.67.175.224:15951/ 其中的-r意思是递归下载

这里用kali，别用githack。

然后看网上的writeup，没有.git，因为被隐藏了，ls就出来了

这里要在文件夹中打开终端

1.git reflog 查看历史版本修改了什么

这里一个小插曲，我的git reflog报错

fatal: 不是 git 仓库（或者任何父目录）：.git

通过git init命令初始化Git仓库

 但是还是不行然后删除原本的重新下载把，先进入root，然后删除

 

 2.git show [版本号]

一个个试最终得到flag，因为咱不懂git，也不知道git命令啥意思，就到这吧