未经授权请勿利用文章中的技术 资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果 和损失,均由使用者本人负责。
无意中使用x-ray被动扫描,扫描出了一个git文件信息泄露。
漏洞原理
通过手动验证确实可以下载到.git配置文件(.git文件夹是来自于git开源的分布式版本控制系统),由于把.git文件夹直接部署到线上环境,导致.git文件夹泄露,导致源码泄露,包括含有数据库配置文件的源代码,进而实现利用。
利用方法
GitHack 是一个.git 泄露利用脚本,通过泄露的.git 文件夹下的文件,重建还原工程源代码。渗透测试人员、攻击者,可以进一步审计代码,githack是最常用的工具,它是通过.git/index,找到第一个hash值。
下载地址:https://github.com/lijiejie/GitHack
python githack.py http://xx.xxx.xx/.git
将泄露文件下载到本地,查看是否有敏感信息文件,发现存在database数据库连接源代码,存在登录信息。
漏洞修复建议
.git文件夹不直接部署到线上环境。
文章来源地址https://www.toymoban.com/news/detail-555132.html文章来源:https://www.toymoban.com/news/detail-555132.html
到了这里,关于.git文件夹信息泄露漏洞利用的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!