ctfshow用字典是跑不出来的。
1.开发注释未及时删除 ：按F12，在查看器里面。
2.js前台拦截 === 无效操作：BP拦截，转到repeater,进行转发。
查看源代码 通过在url头部添加 view-source:
view-source是一种协议，在浏览器上直接查看网站源码。
3.没思路的时候抓个包看看，可能会有意外收获：BP拦截，转到repeater,进行转发。
4.总有人把后台地址写入robots，帮黑阔大佬们引路。：url/robots.txt
robots.txt，告诉spider那些是可以爬的。
5.phps源码泄露有时候能帮上忙：考点phps文件泄露，直接访问index.phps。获得flag。

url/index.phps

phps文件就是php的源代码文件,通常用于提供给用户（访问者）直接通过Web浏览器查看php代码的内容。因为用户无法直接通过Web浏览器“看到”php文件的内容，所以需要用phps文件代替。
6.解压源码到当前目录，测试正常，收工:考察代码泄露。直接访问url/www.zip,获得flag。
7.版本控制很重要，但不要部署到生产环境更重要。：考察git代码泄露，直接访问url/.git/index.php
版本控制主要的功能是追踪文件的变更，git:主流的分布式版本控制系统，里面有开发者提交的所有源码。
8.版本控制很重要，但不要部署到生产环境更重要。：考察信息svn泄露,直接访问url/.svn/
SVN：源代码版本管理器，管理员操作不规范，把SVN文件暴露与外网环境，可以用.svn/entries或者wc.db来获取服务器源码等信息。
9.发现网页有个错别字？赶紧在生产环境vim改下，不好，死机了：考察vim缓存信息泄露，直接访问url/index.php.swp 注：上面的信息泄露可以参考 https://blog.csdn.net/a597934448/article/details/105431367。
10.cookie 只是一块饼干，不能存放任何隐私数据：参考cookie，直接抓包，在请求数据包看到flag,注{ }通过了url编码。
11.通过dns检查查询flag https://zijian.aliyun.com/ TXT 记录，一般指为某个主机名或域名设置的说明。
12.有时候网站上的公开信息，就是管理员常用密码：查看robots.txt文件，用户名admin。密码：在页面的最下方372619038，URL/admin/
13.技术文档里面不要出现敏感信息，部署到生产环境后及时修改默认密码:根据题目提示 技术文档 在页面下面发现 document 下载发现里面存在后台地址和用户名密码登录成功获得flag http://your-domain/system1103/login.php
14.有时候源码里面就能不经意间泄露重要(editor)的信息,默认配置害死人:
根据提示 泄露重要(editor)的信息 直接在url后面添加/editor 然后查看flag路径并且访问

URL/editor

15.公开的信息比如邮箱，可能造成信息泄露，产生严重后果:访问/admin页面，发现有一个忘记密码操作，需要输入地址。在主页面下面看到QQ邮箱，通过QQ号查询邮箱，是西安的。修改密码成功，用户名 admin 登录成功获得flag。

1156631961@qq.com

16.对于测试用的探针，使用完毕后要及时删除，可能会造成信息泄露:考察PHP探针php探针是用来探测空间、服务器运行状况和PHP信息用的，探针可以实时查看服务器硬盘资源、内存占用、网卡 流量、系统负载、服务器时间等信息。 url后缀名添加/tz.php 版本是雅黑PHP探针，然后查看phpinfo搜索flag。
探针四种工具：phpinfo、雅黑探针(tz.php)、UPUPW PHP探针、自建探针工具
18.不要着急，休息，休息一会儿，玩101分给你flag：查看js文件，查看flag的条件，去通过uncode解码。 访问110.php
F12查看源代码，发现一串uncode编码，用控制台解码，alert("\u4f60\u8d62\u4e86\uff0c\u53bb\u5e7a\u5e7a\u96f6\u70b9\u76ae\u7231\u5403\u76ae\u770b\u770b");得到一个弹窗。