CTFHub Git泄露实战Stash和Index漏洞利用全解析在CTF比赛中Git泄露漏洞一直是Web安全方向的高频考点。这类漏洞往往源于开发人员的配置失误将包含敏感信息的.git目录直接暴露在线上环境。本文将深入剖析Git泄露中两种特殊类型——Stash和Index的漏洞原理与实战利用技巧并手把手教你使用BugScanTeam的GitHack工具进行高效渗透测试。1. Git泄露漏洞概述.git目录是Git版本控制系统的核心存储库默认包含以下关键数据objects/存储所有Git对象提交、树、blobrefs/包含分支和标签的引用指针logs/记录所有引用变更历史index暂存区stage文件stash存储未提交的临时变更当这些文件被意外部署到生产环境时攻击者可以通过重建Git仓库获取完整的源代码历史记录数据库连接凭证等敏感配置未提交的临时修改内容开发者的本地分支信息# 典型.git目录结构示例 .git/ ├── HEAD ├── config ├── description ├── hooks/ ├── info/ ├── objects/ │ ├── pack/ │ └── info/ └── refs/ ├── heads/ └── tags/注意在CTF比赛中组织方通常会故意配置错误的.git权限作为题目但在真实环境中发现此类漏洞应遵循负责任的披露流程。2. Stash泄露漏洞深度解析2.1 Stash机制原理Git的stash功能允许开发者临时保存工作目录的未提交变更常见使用场景包括快速切换分支处理紧急问题保存实验性代码而不产生提交记录临时清理工作区进行测试当执行git stash命令时Git会将工作目录和暂存区的修改保存为新的commit对象将这些commit存储在.git/refs/stash引用中回滚工作目录到最近一次提交状态# 查看存在的stash记录 git stash list stash{0}: WIP on main: 5002d47 初始提交 stash{1}: On dev: 未完成的登录功能2.2 CTF中的Stash利用实战以CTFHub题目为例完整利用流程如下下载GitHack工具git clone https://github.com/BugScanTeam/GitHack.git cd GitHack扫描目标站点python GitHack.py http://challenge.ctfhub.com:10080/.git/分析生成的仓库cd challenge.ctfhub.com_10080 git stash list # 查看存在的stash记录恢复隐藏内容git stash pop # 恢复最新stash并删除记录 # 或指定特定stash git stash apply stash{1}查找flagfind . -name *.txt # 检查新增文件关键技巧对比命令作用是否删除记录适用场景stash pop恢复并删除记录是确定不再需要该stash时stash apply仅恢复内容否需要多次测试不同stash时3. Index泄露漏洞攻防详解3.1 Git暂存区工作机制Index又称stage是Git特有的暂存区域其核心特点包括充当工作目录与版本库的中间层存储下一次提交的精确快照内容保存在.git/index二进制文件中可通过git ls-files --stage查看详细内容# 查看暂存区文件状态 git status # 查看暂存区具体内容 git ls-files --stage 100644 78981922613b2afb6025042ff6bd878ac1994e85 0 flag.txt3.2 Index漏洞利用实践针对CTFHub的Index题目标准解题步骤为使用GitHack下载仓库python GitHack.py http://challenge.ctfhub.com:10081/.git/检查暂存区内容cd challenge.ctfhub.com_10081 git status # 查看未被提交的变更直接提取flaggit diff --cached # 查看暂存区差异 # 或直接检查文件系统 cat flag.txt常见问题排查表现象可能原因解决方案无flag文件Index未被修改检查其他Git泄露类型文件为空可能被部分提交尝试git fsck检查悬空对象权限错误文件系统限制使用git show查看对象内容4. 高级利用技巧与防御方案4.1 组合利用技巧历史记录深度挖掘git reflog # 查看所有引用变更历史 git fsck --lost-found # 检查悬空对象分支信息收集git branch -av # 查看所有分支 git checkout origin/dev # 切换到远程分支配置信息提取git config -l # 查看仓库配置 cat .git/config # 直接读取配置文件4.2 防御最佳实践对于开发人员建议采取以下防护措施服务器配置# Nginx禁止访问.git目录 location ~ /\.git { deny all; return 403; }部署前检查# 检查部署包是否包含.git find . -name .git -type d使用清理工具# 使用git自带清理命令 git clean -fdx在CTF比赛中遇到这类题目时我的经验是首先确认.git目录可访问然后系统性地检查以下位置HEAD和refs/指向的commit对象未提交的stash记录暂存区(index)内容各分支的差异比较悬空对象(dangling objects)