バージョン管理履歴からの情報漏えい

Hello there, ('ω')ノ

1. .git ディレクトリが公開されている場合の危険性

• 通常、Gitの履歴情報は開発環境だけに存在するべきですが、誤ってサーバー上にアップロードされてしまうことがあります。

• もし .git に直接アクセスできると、以下のような情報が得られる可能性があります：

  • コミット履歴（変更内容や開発メモ）
  • 過去のコード断片
  • ハードコードされたパスワードやAPIキー
  • アプリケーションの内部構造や機能のヒント

---

2. アクセス方法

1. 直接アクセスの確認

   https://example.com/.git/

ブラウザでアクセスしてディレクトリリストやファイルが見えたら危険信号。

1. ダウンロードツールの利用 手動で .git の中身を1つずつ取得するのは非効率なので、wget や GitTools のようなツールで一括ダウンロードします。

   wget -r https://example.com/.git/

1. ローカルで解析 ダウンロード後、Gitコマンドで履歴を確認：

   git log
   git diff <commit-id>

---

3. 得られる情報の例

• コードの一部

  • バージョン間の差分(diff)から、関数やSQLクエリなどを直接確認可能

• 設定ファイル

  • .env や config.php などが履歴に含まれていることがある

• 資格情報

  • APIキー、データベースパスワード、管理者アカウント情報など

---

4. 防止策

• 本番環境には .git ディレクトリを絶対にアップロードしない
• Webサーバーの設定で .git や .svn などの隠しディレクトリへのアクセスを禁止
• デプロイ時に不要なファイルを除外する設定（例：.gitignoreやCI/CD設定）を利用

Best regards, (^^ゞ