这里是参考了CTFSHOW中的web入门中的题目，来学习关于CTF中的信息收集上的知识点。
目录
web-1
题目描述为：开发注释未及时删除
查看网页源代码F12
web-2
题目描述：js前台拦截 === 无效操作
此时无法查看源代码。通过抓包看一下有什么。
web-3
题目描述：没思路的时候抓个包看看，可能会有意外收获
题目说的很明确了，就是抓包。
web-4
题目描述：总有人把后台地址写入robots，帮黑阔大佬们引路。
那就访问一下robots.txt。
看到了当前目录下面存在着一个文件。尝试访问。
web-5
题目描述：phps源码泄露有时候能帮上忙
访问一下index.phps，这里自动下载了index.phps文件。打开看下。
web-6
题目描述：解压源码到当前目录，测试正常，收工
常见的源码泄露有www.rar/zip/tar.gz就是网站的源码备份。尝试访问一下。
经过尝试发现了www.zip源码，下载之后经过解压，得到了两个文件。
打开index.php看一下，发现提示。
fl000g.txt中的答案并不是正确的答案，需要在url中访问fl000g.txt文件。
web-7
题目描述为：版本控制很重要，但不要部署到生产环境更重要。
这里说的版本控制。联想到git泄露、SVN泄露、HG泄露。
先来说说git泄露吧。
git是一个主流的分布式版本控制系统，开发人员在开发的过程中经常会遗忘.git文件夹，导致攻击者可以通过.git文件夹中的信息获取开发人员提交过的所有的源码，进而可能导致服务器被攻击而沦陷。
SVN（subversion）是源代码版本管理软件，造成SVN源代码漏洞的主要原因是管理员操作不规范将SVN隐藏文件夹暴露于外网环境，可以利用.svn/entries或者wc.db文件获取服务器源码信息。
HG泄露：在初始化项目的时候，HG会在当前文件夹下面闯将一个.hg隐藏文件夹，其中包含代码和分支修改记录等信息。
所以这道题目就是访问一下/.git/目录得到flag。
web-8
题目描述：版本控制很重要，但不要部署到生产环境更重要。
题目描述是一样的，这道题考查的就是SVN泄露。
web-9
题目描述：发现网页有个错别字？赶紧在生产环境vim改下，不好，死机了
前言：在CTF线上比赛的过程中，出题人往往会在线运维题目，有时会因为各种情况导致SWP备份文件的生成。vim在第一次意外退出的时候生成的备份文件为：*.swp。第二次意外退出的时候生成的备份文件为：*.swo；第三次意外退出的时候生成的备份文件为：*.swn。以此类推。
尝试访问了index.php.swp发现自动下载了文件。
web-10
题目描述：cookie 只是一块饼干，不能存放任何隐私数据
这里应该就是flag放在了cookie中。看一下数据包就好了
url解码一下就好了。
web-11
题目描述为：域名其实也可以隐藏信息，比如flag.ctfshow.com 就隐藏了一条信息
这里使用阿里云的域名检测，链接为阿里云网站运维检测平台
web-12
题目描述：有时候网站上的公开信息，就是管理员常用密码
看来这串数字应该就是密码之类的。这里有一个登陆地址：/admin
访问之后，账号为admin。密码为372619038
web-13
题目描述：技术文档里面不要出现敏感信息，部署到生产环境后及时修改默认密码
打开网页之后，发现了dcoument，点开之后发现了技术文档。
web-14
题目描述：有时候源码里面就能不经意间泄露重要(editor)的信息,默认配置害死人
题目提示了editor，尝试访问一下，发现了编辑器。
同时题目还提示了：小0day:某编辑器最新版默认配置下，如果目录不存在，则会遍历服务器根目录
这里就是用到了插入文件，因为提示到如果不存在的话，就会遍历根目录。
在文件空间中的var->www->html->nothinghere->fl000g.txt，发现了flag文件，尝试去访问一下。
web-15
题目描述：公开的信息比如邮箱，可能造成信息泄露，产生严重后果
打开网页之后在最下面发现了用户的邮箱。前面是一个qq号，通过查询，发现了提示西安。
御剑扫描目录，得到了后台登陆地址。
访问之后，由于不知道密码，尝试修改密码，刚好密保的答案是一所城市，西安。
修改成功，使用修改后的密码尝试登录。
web-16
题目描述：对于测试用的探针，使用完毕后要及时删除，可能会造成信息泄露
尝试访问tz.php（这个是真的没想到），得到了如下的界面
查看一下phpinfo，在phpinfo里面查找一下flag。
web-17
题目描述：备份的sql文件会泄露敏感信息
访问备份的sql文件（backup.sql）。下载得到了相应的文件，打开。
web-18
题目描述：不要着急，休息，休息一会儿，玩101分给你flag
查看网页源代码，发现了一串unicode编码的字符串，尝试解码。
转码之后提示我们去110.php看一下，所以访问110.php
得到了flag。
web-19
题目描述：密钥什么的，就不要放在前端了
先看一下源代码，得到了注释中的许多代码。
这里就通过抓包修改对应的值就可以了。
修改数据包中的username和pazzword的值为注释中的值就可以。
web-20
题目描述：mdb文件是早期asp+access构架的数据库文件，文件泄露相当于数据库被脱裤了。
这个是访问了/db/db.mdb，想不到，可能需要御剑、dirsearch等目录扫描工具吧。小白想不到。
访问之后得到了对应的文件，在文件中查找flag关键字，就可以找到flag。
