Kontrola wersji Git jest obecnie standardową praktyką w niemal każdym projekcie internetowym i środowisku (w tym produkcyjnym). Git zawsze tworzy podkatalog o nazwie `.git` . Jeśli znajduje się on na tym samym poziomie co katalog publiczny witryny, dostęp do poufnych plików jest możliwy publicznie (na przykład dostęp do `/.git/ logs/HEAD` wyświetla najnowsze zatwierdzenia). Ten przewodnik szczegółowo wyjaśnia, jak sklonować inne repozytorium Git, nawet bez listy katalogów.
Aby temu zapobiec, w przypadku serwera Apache dostęp do całego folderu .git jest ograniczony w pliku .htaccess i generowany jest błąd 404. Osoba atakująca również nie wie, że folder istnieje:
32b39d7c9836a649597019300a5c2115
Jeśli masz uruchomiony serwer NGINX , te reguły wystarczą.:
32b39d7c9836a649597019300a5c2115