GGGuoshifu

站点公告

欢迎访问郭师傅的技术宅！分享技术干货与日常感悟，感谢你的到来～

了解更多

标签

2053 字

10 分钟

别让你的.git目录裸奔：防止源码泄露的完整方案

2026-03-18

技术折腾

安全

/

Git

/

服务器

/

部署

前几天帮朋友看他的网站，随手访问了一下/.git/，居然直接返回了200。

这意味着什么？整个网站的源码、提交历史、配置文件，甚至数据库密码和API Key，全部暴露在外。

这事儿挺常见的，很多开发者部署代码的时候直接git clone到网站目录，忘了把.git目录排除出去。一旦被发现，基本等于把服务器脱光了给人看。

一、.git目录泄露的危害#

.git目录里存了什么？

1
.git/
2
├── HEAD              # 当前分支指针
3
├── config            # 仓库配置（可能有远程仓库地址、用户名密码）
4
├── index             # 暂存区索引
5
├── objects/          # 所有对象（代码、文件内容）
6
├── refs/             # 分支和标签引用
7
├── logs/             # 引用日志
8
├── hooks/            # 钩子脚本
9
└── COMMIT_EDITMSG    # 最近一次提交信息

泄露后攻击者能做什么：

获取完整源码：通过git log和git show可以查看所有历史版本的代码
找到敏感信息：数据库密码、API密钥、配置文件等
分析业务逻辑：了解系统架构、接口设计、安全机制
发现未公开漏洞：查看历史提交，可能发现已修复但未部署的漏洞利用代码
获取开发者信息：邮箱、用户名等个人信息

真实案例：

很多大厂都出过这事儿：

某电商平台的.git目录被发现，泄露了内部系统架构
某政府网站.git暴露，导致公民信息泄露
某游戏公司.git被访问，源码和配置全部流出

二、检测是否存在泄露#

2.1 手动检测#

最简单的方法，直接访问：

1
http://your-site.com/.git/HEAD
2
http://your-site.com/.git/config
3
http://your-site.com/.git/COMMIT_EDITMSG

如果返回200状态码和内容，说明存在泄露。

正常情况下应该返回403或404。

2.2 自动化工具#

GitHacker：

1
# 安装
2
pip install GitHacker
3

4
# 使用
5
githacker --url http://target.com/.git/ --output-folder ./output

git-dumper：

1
# 安装
2
pip install git-dumper
3

4
# 使用
5
git-dumper http://target.com/.git/ ./output

GitTools：

1
# 克隆工具
2
git clone https://github.com/internetwache/GitTools.git
3

4
# 使用Dumper
5
./GitTools/Dumper/gitdumper.sh http://target.com/.git/ ./output

这些工具可以完整地把.git目录下载下来，然后用git log、git show等命令查看所有内容。

2.3 在线扫描#

一些在线工具可以批量检测：

三、Nginx配置防护#

3.1 禁止访问.git目录#

最直接的方法，在Nginx配置中禁止所有.git相关请求：

1
server {
2
    listen 80;
3
    server_name your-site.com;
4
    root /var/www/html;
5

6
    # 禁止访问.git目录
7
    location ~ /\.git {
8
        deny all;
9
        return 404;
10
    }
11

12
    # 禁止访问所有隐藏文件和目录
13
    location ~ /\. {
14
        deny all;
15
        return 404;
16
    }
17

18
    # 其他配置...
19
}

3.2 更严格的防护#

1
server {
2
    listen 80;
3
    server_name your-site.com;
4
    root /var/www/html;
5

6
    # 禁止访问所有隐藏文件（包括.git、.env、.htaccess等）
7
    location ~ /\. {
8
        deny all;
9
        access_log off;
10
        log_not_found off;
11
    }
12

13
    # 禁止访问特定敏感文件
14
    location ~* \.(env|git|svn|htpasswd|htaccess|bak|sql|tar|gz|zip)$ {
15
        deny all;
16
        access_log off;
17
        log_not_found off;
18
    }
19

20
    # 禁止访问敏感目录
21
    location ~ ^/(config|database|storage|vendor|node_modules)/ {
22
        deny all;
23
        access_log off;
24
        log_not_found off;
25
    }
26

27
    # 其他配置...
28
}

3.3 使用正则表达式精确匹配#

1
server {
2
    listen 80;
3
    server_name your-site.com;
4
    root /var/www/html;
5

6
    # 精确禁止.git目录及其所有子目录和文件
7
    location ~ ^/\.git(/|$) {
8
        deny all;
9
        return 404;
10
    }
11

12
    # 禁止.git相关的其他路径
13
    location ~ ^/\.git-rewrite(/|$) {
14
        deny all;
15
        return 404;
16
    }
17

18
    # 禁止.gitignore文件
19
    location ~ ^/\.gitignore$ {
20
        deny all;
21
        return 404;
22
    }
23

24
    # 其他配置...
25
}

四、Apache配置防护#

4.1 使用.htaccess#

在网站根目录创建或编辑.htaccess文件：

1
# 禁止访问.git目录
2
<DirectoryMatch "^/\.git/">
3
    Require all denied
4
</DirectoryMatch>
5

6
# 禁止访问所有隐藏文件
7
<FilesMatch "^\.">
8
    Require all denied
9
</FilesMatch>
10

11
# 禁止访问.git目录
12
RedirectMatch 404 /\.git
13

14
# 禁止访问敏感文件
15
<FilesMatch "\.(env|git|svn|htpasswd|bak|sql|tar|gz|zip)$">
16
    Require all denied
17
</FilesMatch>

4.2 Apache主配置#

在Apache主配置文件（httpd.conf）中添加：

1
# 禁止访问.git目录
2
<DirectoryMatch "/\.git/">
3
    Require all denied
4
</DirectoryMatch>
5

6
# 禁止访问所有隐藏文件
7
<DirectoryMatch "/\.">
8
    Require all denied
9
</DirectoryMatch>
10

11
# 或者使用Location指令
12
<LocationMatch "/\.git">
13
    Require all denied
14
</LocationMatch>

五、服务器层面防护#

5.1 文件权限设置#

1
# 修改.git目录权限，只允许特定用户访问
2
chmod 700 /var/www/html/.git
3
chown www-data:www-data /var/www/html/.git
4

5
# 或者直接删除.git目录（如果不需要在服务器上使用git）
6
rm -rf /var/www/html/.git

5.2 符号链接方式#

1
# 移动.git目录
2
mv /var/www/html/.git /var/www/.git-repo
3

4
# 创建符号链接（如果需要在服务器上使用git）
5
ln -s /var/www/.git-repo /var/www/html/.git
6

7
# 修改Nginx配置，禁止访问符号链接

5.3 使用软链接限制#

1
# 创建一个受限的.git目录
2
mkdir -p /var/www/git-storage
3
mv /var/www/html/.git /var/www/git-storage/your-site.git
4

5
# 设置权限
6
chmod 750 /var/www/git-storage
7
chown root:www-data /var/www/git-storage
8

9
# 不创建符号链接，服务器上不使用git

六、部署时的注意事项#

6.1 使用.gitignore#

在项目根目录创建.gitignore文件，排除敏感文件：

1
# 环境配置
2
.env
3
.env.local
4
.env.production
5

6
# IDE配置
7
.idea/
8
.vscode/
9
*.swp
10
*.swo
11

12
# 系统文件
13
.DS_Store
14
Thumbs.db
15

16
# 依赖目录
17
node_modules/
18
vendor/
19

20
# 日志文件
21
*.log
22
logs/
23

24
# 缓存文件
25
cache/
26
temp/
27

28
# 数据库文件
29
*.sql
30
*.sqlite
31
*.db
32

33
# 配置文件（根据需要）
34
config.local.php
35
database.yml

6.2 部署脚本#

使用部署脚本而不是直接git clone：

1
#!/bin/bash
2
# 设置变量
3
REPO_URL="git@github.com:your/repo.git"
4
DEPLOY_DIR="/var/www/html"
5
TEMP_DIR="/tmp/deploy-$(date +%s)"
6

7
# 克隆到临时目录
8
git clone --depth 1 $REPO_URL $TEMP_DIR
9

10
# 同步文件（排除.git目录）
11
rsync -av --exclude='.git' --exclude='.env' $TEMP_DIR/ $DEPLOY_DIR/
12

13
# 清理临时目录
14
rm -rf $TEMP_DIR
15

16
# 设置权限
17
chown -R www-data:www-data $DEPLOY_DIR
18
chmod -R 755 $DEPLOY_DIR

6.3 使用CI/CD#

配置GitHub Actions或GitLab CI进行自动化部署：

1
name: Deploy
2

3
on:
4
  push:
5
    branches: [ main ]
6

7
jobs:
8
  deploy:
9
    runs-on: ubuntu-latest
10

11
    steps:
12
    - uses: actions/checkout@v2
13

14
    - name: Deploy to server
15
      uses: SamKirkland/FTP-Deploy-Action@4.0.0
16
      with:
17
        server: ${{ secrets.FTP_SERVER }}
18
        username: ${{ secrets.FTP_USERNAME }}
19
        password: ${{ secrets.FTP_PASSWORD }}
20
        local-dir: ./
21
        exclude: |
22
          **/.git*
23
          **/.env*
24
          **/node_modules/**

6.4 Docker部署#

使用Docker可以完全避免.git目录泄露：

1
# Dockerfile
2
FROM node:16-alpine
3

4
WORKDIR /app
5

6
# 复制package.json（不复制.git）
7
COPY package*.json ./
8

9
RUN npm install
10

11
# 复制源码（不复制.git和其他敏感文件）
12
COPY . .
13

14
# 删除可能的敏感文件
15
RUN rm -rf .git .env .env.local
16

17
EXPOSE 3000
18

19
CMD ["npm", "start"]

1
version: '3'
2
services:
3
  web:
4
    build: .
5
    ports:
6
      - "3000:3000"
7
    volumes:
8
      - ./src:/app/src
9
    environment:
10
      - NODE_ENV=production

七、其他敏感文件保护#

除了.git，还有其他敏感文件需要保护：

1
# Nginx完整防护配置
2

3
# 禁止访问所有隐藏文件和目录
4
location ~ /\. {
5
    deny all;
6
    access_log off;
7
    log_not_found off;
8
}
9

10
# 禁止访问备份文件
11
location ~* \.(bak|backup|old|orig|save|swp|tmp)$ {
12
    deny all;
13
    access_log off;
14
    log_not_found off;
15
}
16

17
# 禁止访问配置文件
18
location ~* \.(env|config|conf|ini|yml|yaml|json|xml|properties)$ {
19
    deny all;
20
    access_log off;
21
    log_not_found off;
22
}
23

24
# 禁止访问压缩包
25
location ~* \.(tar|tar\.gz|zip|rar|7z|gz|bz2)$ {
26
    deny all;
27
    access_log off;
28
    log_not_found off;
29
}
30

31
# 禁止访问SQL文件
32
location ~* \.(sql|sqlite|db|mdb)$ {
33
    deny all;
34
    access_log off;
35
    log_not_found off;
36
}
37

38
# 禁止访问日志文件
39
location ~* \.(log|logs)$ {
40
    deny all;
41
    access_log off;
42
    log_not_found off;
43
}
44

45
# 禁止访问特定目录
46
location ~ ^/(config|database|storage|vendor|node_modules|tests|docs)/ {
47
    deny all;
48
    access_log off;
49
    log_not_found off;
50
}

八、检测和监控#

8.1 定期扫描#

设置定时任务，定期检测服务器上的.git目录：

1
#!/bin/bash
2
WEB_ROOT="/var/www/html"
3
LOG_FILE="/var/log/git-leak-check.log"
4

5
echo "$(date): Starting .git directory check..." >> $LOG_FILE
6

7
# 查找所有.git目录
8
find $WEB_ROOT -name ".git" -type d | while read git_dir; do
9
    echo "$(date): Found .git directory: $git_dir" >> $LOG_FILE
10

11
    # 检查是否可访问
12
    response=$(curl -s -o /dev/null -w "%{http_code}" "http://localhost/.git/HEAD")
13

14
    if [ $response -eq 200 ]; then
15
        echo "$(date): WARNING: .git directory is accessible!" >> $LOG_FILE
16
        # 发送告警
17
        # mail -s "Git Directory Leak Detected" admin@example.com < $LOG_FILE
18
    fi
19
done
20

21
echo "$(date): Check completed." >> $LOG_FILE

8.2 日志监控#

监控Nginx访问日志，检测.git相关请求：

1
# 实时监控.git相关请求
2
tail -f /var/log/nginx/access.log | grep -E "\.git|\.env|\.svn"
3

4
# 统计.git请求来源
5
awk '$7 ~ /\.git/ {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn
6

7
# 封禁频繁访问.git的IP
8
awk '$7 ~ /\.git/ {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | awk '$1 > 10 {print $2}' | while read ip; do
9
    iptables -A INPUT -s $ip -j DROP
10
    echo "Blocked IP: $ip"
11
done

九、总结#

防止.git目录泄露，核心就几点：

Web服务器配置：Nginx/Apache禁止访问.git目录和所有隐藏文件
文件权限：限制.git目录的访问权限
部署流程：使用部署脚本而不是直接git clone
定期检测：扫描服务器，确认没有泄露

最简单有效的方案就是在Nginx配置里加几行：

1
location ~ /\. {
2
    deny all;
3
    return 404;
4
}

这一招就能防住99%的.git泄露问题。

安全无小事，别等出事了才想起来补救。部署的时候多花几分钟配置一下，能省去很多麻烦。

毕竟，谁也不想自己的源码和配置被人扒光了看。