انتقل إلى المحتوى
مسارات إعدادات حساسةexposed-file-git-config

الوصول إلى .git/config

يتحقق من علامات أقسام إعداد Git ويقارن الاستجابة بخط أساس، من دون جلب كائنات المستودع.

المنهجية
evidence_v2
إصدار القاعدة
2.0.0
التصنيف الافتراضي
يحتاج تحققاً في السياق
قوة الدليل
دليل مباشر من الاستجابة

حدود هذا الفحص

ما الذي يطلبه تَحَصَّنْ؟

يبدأ بطلب HEAD لمسار ثابت، ويستخدم GET محدوداً عند الحاجة مع نوع محتوى وتوقيع ومقارنة بخط أساس ثابت لمسار غير موجود مخصص.

متى تنطبق القاعدة؟

  • The allowlisted /.git/config path can be checked with a bounded HEAD gate and, only when needed, a bounded same-origin GET plus a custom-not-found baseline.

متى لا تنطبق؟

  • The probe is disabled or the allowlisted path is not configured.

اختبار الاستغلال

لم يُختبر

ما الذي يرصده؟

يتحقق من علامات أقسام إعداد Git ويقارن الاستجابة بخط أساس، من دون جلب كائنات المستودع.

العبارات التقنية التالية مرتبطة بكتالوج المنهجية وإصدار القاعدة، لذلك تُعرض باتجاه LTR مع شرح عربي محيط بها.

  • Allowlisted path
  • Bounded request method and status
  • Redacted final URL
  • Normalized media type
  • Bounded byte count
  • Static signature identifier
  • Custom-not-found comparison state

ماذا تثبت الملاحظة؟

  • For a verified exposure only: a complete bounded text response used an allowed media type, matched Git configuration section markers, differed from the structural custom-not-found fingerprint, and the baseline did not match the same target signature.

ماذا تعني نتيجة الاجتياز؟

تعني أن الشرط المسمى اجتاز على الاستجابة المرصودة فقط. لا تصف أمان الموقع كله ولا تختبر المسارات الأخرى.

ماذا تعني نتيجة المراجعة؟

تعني وجود حقيقة أو إشارة تحتاج إلى قراءة الدليل وسياق التطبيق. لا تعني تلقائياً وجود ثغرة قابلة للاستغلال.

توضيحات تمنع المبالغة

  • حالة HTTP وحدها لا تكفي أبداً لإثبات تعرض ملف.
  • تُرفض صفحات تسجيل الدخول وWAF وHTML العام وصفحات 200 المخصصة لغير الموجود عبر نوع المحتوى والتوقيع وخط الأساس.
  • لا يعرض الفحص أو يحفظ محتوى الملف أو الأسماء أو القيم، ولا يختبر صلاحية اعتماد أو قابلية الاستغلال.

الأثر المحتمل

قد تشير الاستجابة الحقيقية إلى نشر بيانات Git، لكن الفحص لا يثبت تعرض السجل أو صلاحية أي اعتماد في عنوان بعيد.

الشروط اللازمة لحدوث ضرر

  • أن تنتمي الاستجابة المتحققة إلى إعداد فعلي للموقع لا إلى مثال أو ملف غير مستخدم.
  • أن تحتوي البيانات على معلومات ما زالت حساسة أو قابلة للاستخدام؛ وهذا لا يختبره الفحص.

ما لم يُختبر أو يُثبت

  • That repository objects or history are exposed
  • That a remote URL contains usable credentials
  • Demonstrated exploitability

قيود القاعدة

  • The scanner does not fetch repository objects and does not return or persist configuration content, remote names, URLs, values, fingerprints, or changed redirect paths and parameters; conservative signatures and the byte cap can produce false negatives.

الإجراء المقترح

التحقق في سياق التطبيق

  • Review contextual signals manually; when Tahsan verifies the signature, block public Git metadata and assess whether repository history or credentials require separate investigation.

الفائدة المتوقعة

  • Confirms configuration identity without fetching repository objects or persisting configuration content.

أمثلة تمنع التفسير الخاطئ

The /.git/config path returns 200 from a WAF challenge page.

Status alone is insufficient; only the target-bound Git signature plus a distinct baseline can produce a verified exposure.

مراجع للتعلم

هذه المراجع تشرح المفهوم ولا تدخل وحدها في قرار القاعدة، ولا تثبت ثغرة أو امتثالاً.

العودة إلى كل الفحوصجرّب الفحص على موقع مصرح لك