ctfshow(vip限免题)

01 源码泄露

直接查看源代码，发现flag就在注释里

02 前台js绕过

火狐页面右击无效，F12也无法查看源代码，以下是几种解决方法

手动打开 开发者工具：

ctrl+u或在网站前面加view-source:

补充

这里注意一下“view-source：”
view-source是一种协议，早期基本上每个浏览器都支持这个协议。后来Microsoft考虑安全性，对于WindowsXP pack2以及更高版本以后IE就不再支持此协议。但是这个方法在FireFox和Chrome浏览器都还可以使用。 如果要在IE下查看源代码,只能使用查看中的"查看源代码"命令,参考链接
在当前网页地址前输入：view-source: 就可以查看当前网页的源码
JS用法 : window.location=“view-source:” + window.location

bp抓包

先拦截，再重发，记得需要点发送，响应里会出现flag

禁用javascript

首先了解一下什么是禁用js：网页上的消息弹框和鼠标行为等都是由javascript控制的。比如在网页上禁止粘贴，实际上就是网页对鼠标右键的粘贴行为进行了禁止，那我们就通过禁用JavaScript来跳过禁用的语句。
①打开开发者工具，按F1找到高级设置里的禁用js，打勾；然后刷新页面就可以参看页面源代码啦

②在Firefox地址栏里输入“about:config”并按“Enter”键，接受并继续；输入“javascript.enabled”查找到首选项，启用（ture）改成禁用（false）即可，刷新页面就可以F12啦

03 协议头信息泄露

按照提示bp抓个包试试

04 robots后台泄露

什么是robots?
在url后输入/robots.txt
第二行是不被允许访问的，那我们访问试试
得到flag

补充：

做 web 题经常有一些需要找出后台的备份文件。
这题使用的 robots.txt （统一小写）是一种存放于网站根目录下的ASCII编码的文本文件。常见的一些备份文件见此链接里的，我也粘贴过来了：

.index.php.swp
index.php.swp
index.php.bak
.index