信息泄露之web源码泄露

web源码泄露

由于代码管理工具和代码管理平台在备份或更新时留下的备份文件和配置文件，这类文件往往导致了web源码泄露问题

.hg源码泄露

漏洞成因：hg init的时候会生成.hg文件，在网站根目录下，
http://www.example.com/.hg/
可以通过手动搜索也可以用下面这个工具（发现问题）
dvcs-ripper
rip-hg.pl -v -u http://www.example.com/.hg/

.git源码泄露

漏洞成因： 运行git init初始化代码库的时候会在当前目录下生成一个.git的隐藏文件，用来记录代码的变更记录等。在发布代码的时候，没有把.git这个目录删除，直接发布了，使用这个文件，可以用来恢复源代码
http://www.example.com/.git/config
使用以下自动化工具发现git源码泄露的一些问题

.DS_Store源码泄露

一般在.net系统和os x系统发现这个源码泄露
在发布代码时未删除文件夹中隐藏的.DS_store,被发现后，获取了敏感的文件名等信息。
这个.DS_store就像windows中的.recyle文件（硬盘里的回收站文件，将想删除的文件移动到这个文件里）
http://www.example.com/.ds_store
或者使用自动化工具发现问题