1. 什么是Git泄露漏洞
Git泄露漏洞是指开发者在部署Web应用时，错误地将.git目录暴露在公网可访问的环境中。这个目录包含了项目的完整版本控制信息，包括源代码、提交历史、分支记录等敏感数据。对于CTF比赛来说，这往往成为解题的关键突破口。
在真实的渗透测试中，我们经常遇到这样的情况：开发团队在部署项目时，直接通过FTP上传了整个项目文件夹，却忽略了.git目录的敏感性。攻击者一旦发现这个目录，就可以通过特定手段还原出完整的项目代码。
注意：即使服务器配置了禁止目录列表，.git目录中的对象文件仍然可能被直接访问。这是很多开发者容易忽视的安全盲点。
2. Git泄露漏洞的发现方法
2.1 常规检测手段
最基础的检测方法是直接在目标URL后追加/.git/，观察服务器响应：
http://target.com/.git/如果返回403 Forbidden，说明目录存在但访问被拒绝；如果返回404，则可能不存在该漏洞。但更可靠的方法是检查特定文件：
http://target.com/.git/HEAD这个文件在正常的Git仓库中必然存在，通常会返回类似"ref: refs/heads/master"的内容。
2.2 自动化工具扫描
手动检测效率低下，实战中我们常用工具自动化完成：
GitHack：Python编写的.git泄露利用工具
python GitHack.py http://target.com/.git/dvcs-ripper：支持多种版本控制系统的泄露检测
rip-git.pl -v -u http://target.com/.git/githacker：基于Go语言的高效工具
githacker --url http://target.com/.git/ --output-folder result
这些工具的共同原理是：通过获取.git/objects目录下的对象文件，重建完整的项目历史。
3. 利用Git泄露获取敏感信息
3.1 恢复完整项目代码
获取.git目录后，可以执行以下步骤恢复代码：
# 1. 下载整个.git目录 wget -r --no-parent http://target.com/.git/ # 2. 重置到最新提交 git reset --hard HEAD # 3. 查看提交历史 git log --stat3.2 查找敏感信息的关键位置
恢复代码后，重点检查以下内容：
- 配置文件：如config.php、.env等，常含数据库凭证
- 临时文件：开发过程中可能包含测试用的硬编码密码
- 提交注释：开发者可能在不经意间泄露敏感信息
- 被删除的文件：使用
git log --diff-filter=D --summary查找
3.3 实战技巧：挖掘被删除的敏感内容
Git的一个特性是即使文件被删除，其内容仍保留在历史记录中：
# 查找所有涉及敏感关键词的提交 git log -S "password" --all # 查看特定文件的全部历史版本 git log -p config/database.php # 恢复被删除的文件 git checkout <commit_hash>^ -- deleted_file.php4. CTFhub中的Git泄露挑战解析
4.1 常见出题思路
CTFhub中的Git泄露题目通常设计为：
- 在.git目录中隐藏flag
- 通过历史提交记录暴露关键信息
- 利用被删除的文件或分支存储答案
- 在配置文件中放置数据库连接字符串
4.2 解题步骤示例
以CTFhub的一道典型题目为例：
- 首先扫描发现/.git/HEAD可访问
- 使用工具下载整个.git目录
- 检查日志发现可疑提交：
git log --stat - 发现一个标记为"remove flag"的提交
- 恢复该提交中被删除的文件：
git checkout <commit_hash>^ -- flag.txt
4.3 进阶技巧：分支切换
有些题目会将flag放在非master分支：
# 查看所有分支 git branch -a # 切换到其他分支 git checkout dev # 检查该分支下的文件 ls5. 防御Git泄露的最佳实践
5.1 服务器配置方案
Nginx禁止访问.git：
location ~ /\.git { deny all; return 403; }Apache配置：
<DirectoryMatch "^/.*/\.git/"> Require all denied </DirectoryMatch>
5.2 部署前检查清单
- 使用.gitignore文件排除敏感文件
- 部署前执行清理：
rm -rf .git - 或使用专门的部署工具（如Capistrano）
5.3 开发者教育
- 禁止将.git目录包含在生产环境压缩包中
- 使用CI/CD管道自动清理
- 定期进行安全审计
6. 相关工具与资源推荐
6.1 检测工具
| 工具名称 | 语言 | 特点 |
|---|---|---|
| GitHack | Python | 简单易用 |
| githacker | Go | 高性能 |
| dvcs-ripper | Perl | 支持多种VCS |
6.2 练习平台
- CTFhub技能树中的Git泄露专项
- Vulnhub上的DC-1靶机
- Hack The Box的某些挑战
6.3 深入学习资料
- 《Pro Git》官方文档
- Git内部原理图解
- OWASP关于源码泄露的指南
我在实际CTF比赛中发现，约30%的Web题会涉及某种形式的源码泄露，其中Git泄露占比最高。掌握这个技术点往往能快速打开突破口，特别是在时间紧迫的比赛环境中。一个实用的技巧是：当遇到看似毫无头绪的Web题时，不妨先检查是否存在.git、.svn或.DS_Store等常见泄露点。
