picoCTF2021 GET aHEAD

题目提示：
Hints1:Maybe you have more than 2 choices
Hints2:Check out tools like Burpsuite to modify your requests and look at the responses

用bp抓包会发现Choose Red用的是GET方法，Choose Blue用的是POST方法（其实源码里也能看出来），结合Hints猜测可能要用其它的请求方法。查了一下发现HTTP请求还有一个HEAD方法，正好题目名字也是GET aHEAD，我们就把GET请求改成HEAD请求试一下。HEAD与GET类似，但是不返回数据，只返回HTTP头信息。


成功获取到flag

Scavenger Hunt
寻 宝 游 戏
非常有外国人感觉的一道题，就是给你提示去找某一个文件然后在这个文件里有flag的一部分和下一个文件的提示（但是中间有一个找不出来的感觉很抓狂）。
flag的第一部分在源代码里

把能点的文件都看一遍，flag的第二部分在mycss.css里，myjs.js里则是有一个提示：
/* How can I keep Google from indexing my website? */


网上查一下是写robots.txt阻止搜索引擎爬取网页，那我们就看一下这个文件，flag的第三部分果然在里面，还有下一个文件的提示：
到这里我卡了好久，apache服务器相关联的文件太多了，我试了很多都不行，最后发现是.htacsess，到这里我已经感受到这个题目折磨人的地方了

到这步我是真的完全卡住了，试了很多文件名都不行。没办法就是逼我暴力扫描网站目录（卡在最后一个做不出太难受了），dirsearch扫了一下发现.DS_Store文件。这个文件是Mac存储文件夹显示属性的这谁找得到啊

flag的最后一部分也找到了，折磨暂告一段落

标签：文件,HEAD,请求,aHEAD,GET,提示,picoCTF2021,flag
来源： https://blog.csdn.net/scrawman/article/details/115100300