一般做题顺序（危害递增）：
- 读取
- 写入
- 执行
常见状态码：
- 200：成功
- 301、302：跳转
- 404：找不到资源
- 403：禁止访问
- 500：服务器错误
- 502：错误网关，无效网关
- ...
信息泄露：
- http信息泄露（如server字段）
- 报错信息泄露
- 页面信息泄露（如渲染前的前端代码）
- 备份文件等相关文件下载泄露
- robots.txt敏感文件泄露（防君子不防小人）
- .git文件泄露，可利用脚本，大致思路如下：
- 解析.git/index文件，找到工程中所有的： ( 文件名，文件sha1 )
- 去.git/objects/ 文件夹下下载对应的文件
- zlib解压文件，按原始的目录结构写入源代码
- 搜索引擎收录泄露
- FOFA泄露
爆破：
遍历，根据状态码、返回内容、返回长度等。一般的反制方式为：验证码，限制尝次数等
标签：文件,网关,git,爆破,信息,ctf,web1,泄露 From： https://www.cnblogs.com/Asphyxia/p/16852434.html