泄露密钥扫描器

想持续监控这个网站？用 myeventwatch 免费监控——到期和宕机提醒，无需绑卡。

什么算暴露——什么不算

扫描器用普通的公开 GET 请求探测一份公布的常见路径清单——/.env 及其常见变体、/.git/HEAD 与 /.git/config、配置文件、备份压缩包和密钥文件——正是攻击者、搜索引擎或好奇的访客能发出的同种请求。一个路径只有当响应内容与该文件应有的样子相符时才算暴露：env 文件必须能解析为键值行，Git HEAD 必须长得像 Git 引用。许多服务器对每个路径都回答 200——单页应用回退、自定义错误页、全捕获重写——而一个装着你首页 HTML 的 200 不是泄露。这类路径会在结果中单独列为有响应但未确认，供你自行判断；本工具绝不把未确认的 200 称为泄露，你使用的任何扫描器也都不应该这样做。

在文件探测之外，扫描器还会抓取页面本身以及最多约十五个 JavaScript 包，在其中搜索已知密钥形态：云访问密钥 ID、私钥头、通用 API 密钥与令牌赋值、数据库连接字符串等高信号模式。客户端代码按定义就是公开的——发送到浏览器的任何东西都能被每个访客读取——所以在包里找到的真实凭据，即使没有任何文件配置错误，也已经暴露。发现结果按类型、来源文件和出现次数报告，其值最多打码到只剩前四个字符：足够你认出是哪把钥匙，永远不足以让报告的读者拿去使用。完整的密钥从不被取入、存储或显示在这份报告中。

局限，明说在前面

这是一次公开的、只读的常见路径探测，它的局限是结果的一部分。它只请求公布清单上的路径——放在异常文件名里的密钥不会被找到。它扫描落地页和粗略十五个脚本包，而不是大型站点的每个资源，并且不会登录、不在认证后爬取、不爆破文件名，也不测试任何未经认证 GET 本就够不到的东西。扫描限速为每位访客每小时 5 次，结果缓存10 分钟，因此该窗口内的重扫可能显示缓存结论。扫描也有时间预算：慢目标用完预算时，结果会标为部分并明说——请把部分干净结果理解为“未完整检查”，而不是“干净”。

如果扫描发现了问题，工作的顺序比删除的速度更重要。先轮换凭据——吊销已暴露的密钥并签发新密钥——因为副本可能已经存在于缓存、归档和别人手里；删除文件只能停止新的下载，对已经流出的密钥毫无作用。然后在服务器上移除或封锁该文件，清除可能存有副本的 CDN 与代理缓存，并检查访问日志中对同一路径的更早请求。配套文章暴露的 .env 文件与泄露密钥按顺序走完攻击者使用的第一小时手册和完整的恢复流程。

相邻的检查补全画面：第三方脚本审计覆盖你的页面加载的外部脚本——那是与自有文件泄露不同的供应链风险——安全响应头深度检查则为你的响应所携带的浏览器保护打分。关于方法的一点说明：干净结果意味着在扫描时刻、从检查器的网络位置看，被探测路径没有一条以匹配内容响应，被扫描文件中也没有出现已知密钥模式。它是关于那些路径和文件的证据，并非对整台服务器的保证——首先就把文件放在 Web 根目录之外，并在每次触及服务器发布内容的部署变更后重新扫描。

公布的探测清单

常见问题