1.网站源码

三种方法：
方法一：dirsearch扫描git泄露



有文件下载

拿到flag

方法二：御剑（超时10s）
御剑其实也可以扫出来，但是一般我们扫域名超时时间都是三秒，本环境中需要超时10秒才能得到

方法三：burp根据已知字典扫
参考：

https://www.cnblogs.com/carr0t/p/websitesource.html

2.bak文件

当开发人员在线上环境中对源代码进行了备份操作，并且将备份文件放在了 web 目录下，就会引起网站源码泄露。

有些时候网站管理员可能为了方便，会在修改某个文件的时候先复制一份，将其命名为xxx.bak。而大部分Web Server对bak文件并不做任何处理，导致可以直接下载，从而获取到网站某个文件的源代码
方法一：url后缀
根据提示，在url后加上/index.php.bak
出现文件下载

方法二：curl命令：