Открытые .env и .git на сайте: как проверить и закрыть

Что чаще всего оказывается открытым

• .git: репозиторий с исходным кодом и всей историей правок, в том числе старыми паролями.
• .env и его копии: пароль базы данных, ключи платёжных систем и почты.
• backup.sql, dump.sql, backup.zip: копии базы и сайта, забытые после переезда.
• wp-config.php.bak, config.php.bak: копия конфигурации, которую сервер отдаёт как текст.
• phpinfo.php, server-status, phpMyAdmin: подсказки для подбора пароля.

Как проверить за минуту

Откройте в браузере адрес ваш-сайт/.env и ваш-сайт/.git/HEAD. Если видите текст с настройками или строку ref: refs/heads/…, файл открыт. Awe Check делает то же для 20 типовых путей и узнаёт файл по содержимому, а не по коду ответа, поэтому ложных срабатываний на сайтах с красивой страницей 404 нет.

Что делать, если нашли

• Уберите файл с публичного адреса или закройте доступ к нему в конфигурации сервера.
• Считайте все пароли и ключи из файла утёкшими: смените пароль базы, ключи платёжной системы и почты.
• Проверьте логи: не скачивали ли файл посторонние. Если в нём были данные клиентов, это может быть утечкой по закону.

# nginx: закрыть скрытые файлы и резервные копии
location ~ /\.(?!well-known) { deny all; }
location ~* \.(sql|bak|zip|old|env)$ { deny all; }

Частые вопросы

Источники

• OWASP: утечка файлов и данных