CTF常见的敏感文件和源码泄露
JS代码文件，小游戏可以Ctrl+f搜索alert
禁用JS
view-source查看源码
Ctrl+U查看源码
burp查看响应包
文件泄露
● robots.txt
● login.php 登陆页面
● tz.php 探针界面
● URL/db/db/mdb 数据库文件
● backup.sql 备份的sql文件
● bak文件
备份文件，原始文件后缀加上.bak
● phps源码泄露
phps文件为php源代码文件，可通web浏览器直接查看php代码内容（例：index.phps）
● www.zip 源码泄露
存在www.zip文件，下载即可得到web目录源码
● .git泄露
存在/.git目录，使用工具GitHack
● .svn泄露
存在/.svn目录，实用工具svnExploit
● .DS_Store
.DS_Store 文件利用 .DS_Store 是 Mac OS 保存文件夹的自定义属性的隐藏文件。通过.DS_Store可以知道这个目录里面所有文件的清单；进入目录会下载一个文件，放到linux下，可以直接cat命令打开
● vim缓存文件
在vim编辑文本时创建的临时文件，异常退出时会保留
例：原文件为index.php，第一次产生的缓存文件为 .index.php.swp
第二次意外退出后，文件为.index.php.swo
第三次产生的缓存文件为 .index.php.swn
注意：index前有 “ . “
● mdb文件
mdb文件是早期asp+access构架的数据库文件，直接查看url路径添加/db/db.mdb，下载文件通过txt打开，搜索特定字符串即可
● 探针文件
多在题目提示中泄露未删除的探针文件