4.Git信息收集

这是一个关于4.Git信息收集的思维导图，主要内容有什么是版本控制系统、为什么git会导致信息泄露、Github搜索技巧、Git信息泄露利用方式。

Git信息收集

• 什么是版本控制系统
  • 代码的恢复、备份
    • 修改仓库难以管理
    • 整个工程直接打包，占用空间过多
  • Version Control System
  • 发展阶段
    • 版本管理
      • 本地VCS
    • 协同开发
      • 文件冲突？
        • 自动合并不冲突的内容
        • 标记冲突的内容
      • 集中化的VCS
        • CVCS
        • 代表
          • CVS
          • SVN
• 为什么git会导致信息泄露
  • 把私有仓库/隐私文件提交到了github
  • 部署项目的时候，不小心把.git文件一起打包进去，放到web网站的目录下
    • .java
      • .class
        • .war
    • .git有用的内容
      • .git/logs/HEAD
        • 存储了git的log信息，可以找到历史的commit项
      • .git/index
        • 缓存git add的文件，暂存区
      • .git/refs/stash
        • git stash
          • 把代码存入缓存区
      • .git/refs/heads/master
        • 记录了master的commit的hash
      • .git/objects/pack/.pack
• Github搜索技巧
  • kali in:file
    • 搜索文件中包含kali的代码
  • kali in:path
    • 搜索路径中包含kali的代码
  • kali in:path,file
    • 搜索路径、文件中包含kali的代码
  • shodan language:python
    • 搜索关键字shodan，语言为python的代码
  • kali topics:>=5
    • 标签数量大于等于5的
  • kali size:<1000
    • 文件小于1KB的
  • kali stars:10..50
    • star大于10小于50的
  • kali pushed:2021-08-15
    • 搜索在2021年8月15日之后提交的
  • kali pushed:>2021-07-01..2021-08-01
    • 搜索在此区间
  • kali created:>=2021-06-01
    • 创建时间
  • kali pushed:<2021-08-01 -language:java
    • 搜索在2020年8月1日前push代码且排除java语言
• Git信息泄露利用方式
  • 找到.git
    • 目录扫描
    • robots.txt
    • 搜索引擎搜索
      • ntitle:"Index of /.git"
  • 工具
    • Git_Extract-master 下载并提取
      • python2 git_extract.py xxx.xx/.git/
    • GitHack-master 下载
      • python2 GitHack.py xxx.xx/.git/
  • 用git的命令获取内容
    • git log
      • 获取提交记录
    • git reset --hard[log hash]
      • 恢复到某个版本
    • git diff 记录
      • 对比版本差异