应用安全 --- CTF考点 之 误导性线索

有的题目其实不难，但是开始他会给你一个明显的误导，让你在错误的方向一直继续下去。

比如

1. 首页侦察：访问站点根目录，HTML 源码里有一处注释泄漏线索：<!--><p>You need to look for backup files xxx.tar.gz</p><-->（提示找备份文件）。
2. 爆破发现备份包 html.tar.gz（13MB）在线可直接下载。
3. 解包备份：解压得到一个完整 WordPress 站点，wp-config.php 里泄漏了数据库凭据（Admin / TogieMysql12345^^），deets.txt 里也有密码提示（Password 12345）。
4. 在线目录追踪：虽然备份包是静态模板不含 flag，但探测 robots.txt 暴露的 /old/ 目录时，发现目录索引里有一个今天动态生成的 older.html。
5. 取 flag：访问 /old/older.html，页面标题为"key在哪里？"，隐藏的 <a> 元素里就是 key1 的 flag。

在代码中注释提示找备份文就是一种故意的误导你在错误的路径进行分析，这种误导性不好判断，只有在搜索不到flag时才能知道是不是误导性题目