i春秋第二届春秋欢乐赛-Web-Hello World

Posted 2020-12-21 Ca1m的Blog

 

 

1.  打开题目链接，只看到一个hello，world，右键看一下原代码。
   
   

    

    发现有个链接，打开是404。开一下脑洞，改成http://106.75.72.168:9999/flag.js  可以进去，但是没什么有价值的信息。
   

    

    

2. 既然没什么收获，那我就信息收集一下吧。dirmap扫目录，xray主动扫url。结果都指向了git文件
   
   

    

    

   
   
   
   
3. 既然有Git文件泄露，那就用工具利用一下，这里使用Git_Extract，链接：https://github.com/gakki429/Git_Extract

    

    

    

    

    

4. 对比两个文件不一样的部分，就可以得出flag

    

5.