NSS [NCTF 2018]全球最大交友网站
题目描述：作为一个程序员你能不知道这个？
那应该就是GitHub了，联想到git泄露。
啥都不要说，先dirsearch扫一下试试。
python dirsearch.py -u http://node4.anna.nssctf.cn:28531/
确实有git泄露，但是这…我是捅了git的老窝了吗？？？
用githack把源码弄下来
python dirsearch.py -u http://node4.anna.nssctf.cn:28531/
只有readme，不知道什么情况。readme里面的内容是Allsource files areingit tag1.0。所有源码内容都在tag.1.0版本中。
参考一下P神的文章：
XDCTF2015代码审计全解 | 离别歌 (leavesongs.com)
首先利用gitcommit.py脚本**（python2环境下运行）**
XDCTF2015/gitcommit.py at master · phith0n/XDCTF2015 · GitHub
很成功的跑出了一个文件夹，文件夹下有一个文件：
但是这个flag是假的，而且也没涉及到tag.1.0版本。
再利用scrabble工具尝试一下
https://github.com/denny0223/scrabble
这个工具的使用方法就是scrabble 网址，非常的方便。
解压后放在kali中，在文件夹中开终端
成功获取.git文件
./scrabble http://node4.anna.nssctf.cn:28849/
查看历史git
git log
有过三次 commit，当前 head 指向 hint 这次 commit。
git show HEAD 02b7
02b7是commit前四位，其实前几位都行，能区分不同commit就行啦
得到flag
