web1
直接F2查看源代码，或者ctrl+u查看源码，flag就在注释里面。
web2
这一关它限制了鼠标右键和键盘F12，但ctrl+u便可看到源代码，flag就在注释里面。
web3
打开，一看
通过查看源代码，并没有看出有什么特殊的信息
使用burpsuite抓包后，发现响应包里面有flag
其实用浏览器抓包也行，也一样可以在找到flag
web4
根据题目提示，在robots.txt可能会重要信息，查看：
根据提示，访问==/flagishere.txt==，flag出来了
web5
根据题目提示，可能与phps源码泄露有关系
访问index.phps文件
可以直接下载index.phps文件，查看文件内容，便可以看到flag
web6
根据题目提示，应该在源码中有重要信息，通过目录扫描工具，可以扫出它有www.rar敏感文件，直接访问这个www.rar，便可以把源码下载下来，查看
直接访问fl00g.txt，便可以得到flag
web7
根据题目提示，版本控制很重要，但不要部署到生产环境更重要。这个可能是有些人在开发项目的时候会将自己的项目同步上传到GitHub这样的平台，会有==.git目录遗留，如果这种情况，他在部署环境如果不细心，把.gti==目录删除，就会遗留在已部署的环境中。
通过dirsearch扫描，能扫描到==.git==目录，直接访问，便可得到flag
web8
这一关和上一个关，只不过这一个遗留目录是==.svn==
通过dirsearch扫描出来，直接访问，便可得到flag
web9
这一关属于vim缓存信息泄露。
当开发人员在线上环境中使用 vim 编辑器，在使用过程中会留下 vim 编辑器缓存，当vim异常退出时，缓存会一直留在服务器上，引起网站源码泄露。
直接访问==/index.php.swp==，便可以下载index.php.svp文件，打开，查看，便可以得到flag
web10
cookie里面应该有重要信息，直接抓包，便可以得到flag，比较简单
web11
这一关考的是域名解析
直接使用解析命令 nslookup -qt=txt flag.ctfshow.com
查询全部域名解析记录 基本格式：nslookup -query=any host [server]
web12
查看一下robots.txt文件，发现==/admin==，直接访问，需要用户名和密码，用户名应该是admin，根据题目提示，密码可能出现在页面中，再仔细看一下页面，密码应该是底下那个提示
果真登录用户名admin以及密码372619038，便可获得flag
web13
在页面下面发现document，查看后，下面发现后台地址以及用户名和密码
打开后台地址，输入用户名和密码，就可以获取flag了
web14
直接用dirsearch扫描敏感目录，发现==/editor==，访问，发现编辑器，点击上传文件按钮，看一下，发现里面可以看到空间文件，这个空间文件是属于服务器中的文件，在var/www/html中的nothingthere发现有一个文件fl000g.txt，访问==/nothinghere/fl000g.txt==便可以获取flag
web15
用dirsearch扫描到==/admin这个目录，直接访问，发现是一个后台登录系统，先试一下点击忘记密码，发现密保是填写城市，再首页中的qq邮箱，查到管理员属于西安，输入密保城市西安后便可以获取管理员密码，登录后台用户名admin，密码admin7789，便可以获取flag
web16
PHP探针php探针是用来探测空间、服务器运行状况和PHP信息用的，探针可以实时查看服务器硬盘资源、内存占用、网卡 流量、系统负载、服务器时间等信息。
访问==/tz.php==，然后再查看phpinfo，接着直接搜索ctf，便可以看到flag
web17
使用dirsearch扫描出有==/backup.sql==这个敏感目录，直接访问便可以下载，下载后查看，搜索ctf，便可以看到flag
web18
这一关很有意思，这是一个javascript 的游戏，从js代码中可知，当score>120时，且game_over这个参数为false时，即可赢
打开浏览器的控制台
依次执行score=130 game_over=false run()后
根据访问110.php，后便可以得到flag，为什么要访问110.php，你念一下那句话就知道了
web19
通过查看前端源代码，这道题关键信息在
拿去解密，可得
输入用户名admin，密码i_want_a_36d_girl，便可以获取flag
web20
mdb文件是早期asp+access构架的数据库文件
访问==/db/db.mdb==，便可以下载mdb文件，然后使用EasyAccess.exe打开搜索ctf，便可以获取flag，也可以用notepad++打开搜索ctf也可以获取flag
免责声明：本文章涉及的知识和技能仅用于学习研究，如有用于非法途径或未被授权的真实网络环境，所造成的后果及连带责任自行承担，与本文作者无关，倡导把安全知识和技能用于正当、正规、正义的途径。