ilyaplot Aug 4 2017 at 12:11

Как я исходники собственного сайта скачал

3 min

10K

Comments 10

BekoBou Aug 4 2017 at 12:31

А может просто не выносить исходники и директорию .git на боевые сервера? Средства для деплоя сейчас достаточно развиты, чтобы не было такого.

ilyaplot Aug 4 2017 at 12:36

Лично встречал проекты, в которых деплой происходит с помощью git. В одном из них корень репозитория = корнень сайта. Теперь там используется deployer

modulator Aug 4 2017 at 12:39

Я видел svn репозиторий в котором был закоммичен git и пару фильмов.

modulator Aug 4 2017 at 12:33

Полезной информации статья не несет.
Я сканил alexa top 1m. ~10% сайтов не закрыли .git/
Что бы выкачать исходники (хотя бы частично) не обязательно делать git clone.
Выкачиваем /.git/index, делаем git ls-files. Выбираем нужный файл (например config.php), git checkout config.php.
В результате получаем хэш вида 06fe09951d8b859538bd4a5c4b3d207a99dc254c, где 06 — то каталог.
wget site.com/.git/objects/06/fe09951d8b859538bd4a5c4b3d207a99dc254c
Повторяем git checkout config.php и получаем исходники файла config.php

ilyaplot Aug 4 2017 at 12:38

Мне было интересно сделать именно git clone, потому что это казалось очень просто. Понятно, что можно получить исходники или их часть без применения git, но это уже другая история.

-3

kaimi_ru Aug 4 2017 at 12:35

Набор подобных скриптов для разных систем контроля версий https://github.com/kost/dvcs-ripper

modulator Aug 4 2017 at 12:38

Как раз им выкачивал. Написал обертку, которая по списку доменов ищет .git .svn .hg и если нашел выкачивать. Но исходников оказалось слишком много:(

Fedcomp Aug 4 2017 at 14:03

Году в 2010 на хабре была волна скачки /.git /.svn папок, даже у яндекса что то скачали. С тех пор, видимо, за этим следят.

Ernillgeek Aug 4 2017 at 16:19

location ~ /\. {
     return 444;
}

Очень полезно иметь в конфиге nginx'а. Махом решает все подобные «уязвимости».

maxru Aug 4 2017 at 18:02

Как уже писали — достаточно просто нормально выкладывать код на боевой.
Для этого svn export и git archive есть, если уж деплоер совсем лень настраивать.