Como se mencionó anteriormente, este archivo .git descargable contiene toda la información del sitio web y puede usarse fácilmente para causar daños graves. La tasa de sitios web vulnerables fue de alrededor de 1 de cada 600 sitios web visitados, o alrededor del 0,16%, que es una cantidad muy peligrosa.
También debe tenerse en cuenta que no todos los repositorios .git contienen información confidencial. No obstante, muchos de los grandes sitios web de muestra con la carpeta .git podrían ser pirateados porque contenían claves API de Amazon AWS o Google Cloud, detalles de FTP en su propio servidor, carpetas ocultas o copias de seguridad de bases de datos en archivos .SQL.
¿Cómo verificar si su archivo .git está abierto?
- Todos los desarrolladores web que utilicen git para controlar el código fuente deben visitar https://www.yourdomainname.com/.git/ de inmediato.
- Si su carpeta .git está visible, ¡ciérrela de inmediato!
¿Cómo bloquear el acceso a la carpeta .git?
Si su carpeta .git está visible, la mejor manera de bloquearla es eliminarla y encontrar una mejor manera de alojar su código. Suponiendo que alguien ya haya descargado todos los datos, cambie las contraseñas, claves API, hashes o sales relevantes.
Para evitar su carpeta .git, puede utilizar un .htaccess Archivo en cada directorio .git y denegar el acceso, pero hay formas de hacerlo globalmente agregándolo al archivo de configuración principal.
Puede utilizar la siguiente forma simple y limpia de ocultar (y devolver 404) cualquier archivo o directorio que comience con .git. Si lo pones en el htdocs-root, hace un trabajo global. Solo mira:
RedirectMatch 404 /.git
El código anterior se puede utilizar en .htaccess o el archivo de configuración de su servidor. Oculta todos los archivos o directorios cuyos nombres comienzan con .git (por ejemplo un .git Directorio o .gitignore File) devolviendo un 404. Por lo tanto, no solo oculta el contenido de su repositorio Git, sino también su existencia. Asegúrese de verificar el acceso a https://www.yourdomainname.com/.git/ después de realizar este cambio.
Jamie escribe en su blog que este podría ser «el mayor agujero en Internet» en este momento. Divida el trabajo entre otros desarrolladores web para hacer de la web un lugar más seguro.
Lea también: Project Shield: Google quiere proteger los sitios de noticias y derechos humanos de los ataques DDOS
Fuente de imagen: Desbordamiento de paquetes
¿Le resultó útil esta información? Háganos saber sus pensamientos en los comentarios a continuación.
Para obtener más actualizaciones e historias interesantes de fossBytes, suscríbase a nuestro boletín. [newsletter_signup_form id=1]
