“鲲鹏杯战后总结”
善用工具
工欲善其事，必先利其器。好的工具一程度上能够压缩工作量，来使我们更高效的挖掘flag
dirsearch（目录扫描工具）
常用命令：
python dirsearch.py -u URL -e php
-u 指定目标ip
-e 指定网站语言
-w 加上自己的字典
-random-agents使用代理
sqlmap（针对sql注入的工具）
常用命令：
sqlmap -u “URL” 指定目标
sqlmap -m 1.txt 获取多个url
sqlmap -r URL.txt 从文件中加载http请求
sqlmap -g 利用谷歌获取目标
sqlmap -l burp.txt
—dbs 查看所有可用数据库
-D<库名> –tables（查看某库下面的可用表）
-D<库名> -T<对应的数据库表名> – column（查询某数据库某表下的所有列名）
目标明确（以下是毫无营养的经验之谈）
战场上紧张的情绪会影响心态，要调整心态明确目标。
每个题目都看（毕竟菜逼，要挑软柿子捏）
就所有类型题目都看一遍嘛。web题就看看源代码，misc就改改文件名啊。
这次也是运气非常好让我做出了web1，就是审查源代码找到了一个表情包的转码，但确实有点费眼睛（不得不说dirsearch真的好用，学到了！学到了！）
善用搜索
遇到非常恐怖的代码有一个小技巧，ctrl+a，Ctrl+c，复制到记事本里然后
在编辑里面查找关键词（例如flag），可以省去一大段代码审计的时间。。。