Bugku-web(source)

WriteUp

题目信息

解题思路

打开页面,看到

按F12查看源代码

试了一下,发现不是flag,然后在浏览器开发者工具中没有找到flag相关信息

接着使用kali linux,查看是否有隐藏文件夹

使用命令dirsearch -u http://171.80.2.169:10777/(替换为你的网址)扫描网页

发现有.git 隐藏文件夹(它用来记录当前项目所有的版本历史,也能恢复代码到某次版本下)

linux 系统自带 wget 命令,可以把服务器上的资源下载到本地(上图 .git 下面路径有很多层,所以需要都下载下来,而 -r 参数意思就是递归下载文件夹里面东西)

使用命令wget -r http://171.80.2.169:10777/.git/ (替换为你的网址)把服务器上的资源下载到本地,应该有接近300个文件

下载后进入文件夹

使用命令git reflog --oneline 可以查看到项目的所有版本

然后用命令sudo git checkout 40c6d51 就能找到flag,这需要每一个版本都尝试一下,

使用命令 ll

看到flag.txt

查看flag.txt即可

使用工具

Kali linux

dirsearch(在kali中输入指令sudo apt install dirsearch即可下载)

Flag

flag{git_is_good_distributed_version_control_system}

总结

通过本题学到:

dirsearch命令(扫描网页,查看隐藏文件)

wget 命令(将文件下载到本地)

git log 命令查看 git 提交记录(有提交的时间和人物,如果 git log --oneline 则显示缩略版本信息只有提交描述)

git reflog --oneline (查看更详细的版本)

git checkout 提交的版本号 (切换版本号)

相关推荐
里欧跑得慢13 小时前
AI 驱动的 UI 国际化方案自动适配:从单一语言到多语言布局的智能转换
前端·css·flutter·web
里欧跑得慢2 天前
Flutter 像素级还原:设计稿到代码的视觉无损转换技巧
前端·css·flutter·web
深念Y4 天前
# CC-Switch + Claude/Codex 折腾教训记录
运维·服务器·网络·ai·agent·web·ccsiwtch
钛态4 天前
Vite 中的 CSS 工程化:从 CSS Modules 到 UnoCSS 的渐进式迁移
前端·vue·react·web
QYRdata6 天前
18.3%年复合增长率!2026-2032年Web应用与API安全领域,增长态势领跑行业
安全·web
Sagittarius_A*6 天前
Burst Lab | PHP 审计 14|反序列化(四):字符串逃逸与绕过技巧
开发语言·安全·php·web·反序列化
慧都小项6 天前
夜间Web回归跑到一半停了?TestComplete 15.83提升批量测试稳定性
前端·测试工具·数据挖掘·回归·汽车·web
山甫aa8 天前
日志技术 Logback + Slf4j —— 从零开始的 Web 后端学习
java·后端·学习·web·logback
Sagittarius_A*9 天前
【好靶场】PHP反序列化入门练习
安全·php·web·反序列化
山甫aa9 天前
JavaWeb后端开发学习手册
java·开发语言·数据库·学习·mysql·springboot·web