本文详细介绍了CTF比赛中的各种Web安全信息泄露问题，包括源码泄露、协议头信息、robots.txt、phps源码、版本控制、vim临时文件、cookie、域名txt记录、敏感信息公布、内部技术文档、编辑器配置不当、密码逻辑漏洞、探针泄露、CDN穿透、JS敏感信息、前端密钥和数据库下载等。通过实例展示了如何发现并利用这些泄露获取flag。
web1 源码泄露
直接 f12 在下面注释行中可以看到flag
web2 前台js绕过
方法有很多：
1.ctrl+u 查看源代码
2.burp抓包查看
3.在网址前加上view-source:即可查看源代码
web3 协议头信息泄露
题目提示没思路抓包看看，就用burp抓个包看看，在响应头里发现flag
web4 robots后台泄露
题目提示：总有人把后台地址写入robots，帮黑阔大佬们引路。
访问robots.txt,得到flag地址/flagishere.txt,访问该地址拿到flag
web5 phps源码泄露
题目提示：phps源码泄露有时候能帮上忙
访问下载文件打开看到flag
web6 源码压缩包泄露
www.zip下载文件，在index.php文件发现flag位置，访问fl000g.txt文件，压缩包里面那个是假的，
在网页上访问
web7 版本控制泄露源码
git泄露，直接访问/.git/
最低0.47元/天 解锁文章
扫一扫
312
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
