CTF，即夺旗赛，在网络攻防比赛中通过各种方式找到题目中的flag得到分数的一种比赛。
查看源码搜索flag
f12查看网页源码，通过源码搜索关键词查看是否有flag
通过备份文件找，或者网页源代码查看信息。
如系统内的备份文件 web.rar 获取到应用源码，或者 php 的备份文件。
vim的备份文件nginx.conf.swp，php常见的备份文件index.php index.php~ .index.php.swp
使用文件扫描工具
御剑后台扫描工具：输入要扫描的网址，一般选择 dir 和 php，但是这种扫描对域名不区分大小写。
dirsearch命令行式扫描工具python dirsearch.py -u ip地址 -e php。如果遍历到了目录文件，可以继续遍历对应目录的所有文件。
如果目录遍历没有东西，可以考虑抓包分析报文。
抓包 burpsuit
通过抓包，分析报文内的信息，有可能 flag 隐藏在 header 的 cookies、session或者 data内，如果有flag相关的明文、base64编码、md5值等，都可以作为待分析的为flag的地方。
base64编码，编码最后的字符有双等号 ==。md5破解常用的网址somd5.com。md5破解不了，只能走代码审计，找数据库的password提交请求
ip伪造：x-forwarded-for: 127.0.0.1。报文伪造域名来源
Referer：域名 url。伪造
Cookie，报文Cookie: isadmin=1
