Source Code Disclosure: .git Esposto, Credenziali nei Commit e Git-Dumper

Thu, 19 Mar 2026 00:00:00 +0000

Lo sviluppatore deploya con git pull sul server di produzione. La directory .git/ resta nella document root, accessibile da chiunque. L’attaccante la scopre con un curl https://target.com/.git/HEAD → ref: refs/heads/main. Con git-dumper ricostruisce l’intero repository — codice sorgente completo, storico dei commit, e soprattutto ogni credenziale che è mai stata committata nella storia del progetto, anche quelle cancellate anni fa.

La Source Code Disclosure non è solo “leggere il codice” — è avere accesso a tutto ciò che è mai stato scritto e poi cancellato: password hardcoded rimosse nel commit successivo (ma ancora nella history), API key di produzione committate per errore, token CI/CD, chiavi SSH, credenziali database. git log --all -p è un tesoro.

Git-Exposure on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Source Code Disclosure: .git Esposto, Credenziali nei Commit e Git-Dumper