网站备份文件 .git/.env/.sql 泄露：最容易中招的低级事故

2026-10-16 · 神盾安全 · 阅读约 5 分钟

这类事故的特点是：技术含量极低，后果极重。攻击者不需要任何漏洞利用，只要猜对路径、直接下载文件，就能拿到你的源码、数据库连接串甚至整库数据。

一、哪些文件最危险？

• .git/：版本库目录，配合工具可完整还原源码，还可能翻出历史提交里的密钥。
• .env / config.php：数据库账号密码、API 密钥、密钥对。
• *.sql / *.zip / *.bak：整库备份或站点打包，被下载即“脱库”。
• .svn/、www.zip、backup/、.DS_Store 等。

二、怎么自查是否泄露？

逐条访问（把 你的域名 换成自己的）：

• https://你的域名/.git/config → 返回内容而非 404，就危险了。
• https://你的域名/.env、/.svn/entries。
• https://你的域名/backup.zip、/www.zip、/*.sql。

三、修复建议

1. 备份移出网站目录，放到 Web 根目录之外或对象存储。
2. Web 服务器禁止访问点开头的文件（Nginx 加 location ~ /\. { deny all; }；Apache 用 Require all denied）。
3. 删除服务器上多余的 .git/.svn、临时打包文件。
4. 若已泄露过，立刻轮换数据库密码、API 密钥、密钥对。

四、顺带一个习惯

把“上线前扫一遍”固定成流程：部署完、改完配置、装完插件，各跑一次检测。这类低级事故，一次扫描就能挡住。