洩漏金鑰掃描器

想持續監控這個網站？用 myeventwatch 免費監控——到期和停機提醒，無需綁卡。

什麼算暴露——什麼不算

掃描器用普通的公開 GET 請求探測一份公佈的常見路徑清單——/.env 及其常見變體、/.git/HEAD 與 /.git/config、設定檔、備份壓縮包和金鑰檔案——正是攻擊者、搜尋引擎或好奇的訪客能發出的同種請求。一個路徑只有當回應內容與該檔案應有的樣子相符時才算暴露：env 檔案必須能解析為鍵值行，Git HEAD 必須長得像 Git 參照。許多伺服器對每個路徑都回答 200——單頁應用回退、自訂錯誤頁、全捕獲重寫——而一個裝著你首頁 HTML 的 200 不是洩漏。這類路徑會在結果中單獨列為有回應但未確認，供你自行判斷；本工具絕不把未確認的 200 稱為洩漏，你使用的任何掃描器也都不應該這樣做。

在檔案探測之外，掃描器還會抓取頁面本身以及最多約十五個 JavaScript 包，在其中搜尋已知金鑰形態：雲端存取金鑰 ID、私鑰頭、通用 API 金鑰與權杖賦值、資料庫連線字串等高訊號模式。用戶端程式碼按定義就是公開的——傳送到瀏覽器的任何東西都能被每個訪客讀取——所以在包裡找到的真實憑據，即使沒有任何檔案設定錯誤，也已經暴露。發現結果按類型、來源檔案和出現次數報告，其值最多遮罩到只剩前四個字元：足夠你認出是哪把鑰匙，永遠不足以讓報告的讀者拿去使用。完整的金鑰從不被取入、儲存或顯示在這份報告中。

局限，明說在前面

這是一次公開的、唯讀的常見路徑探測，它的局限是結果的一部分。它只請求公佈清單上的路徑——放在異常檔案名裡的金鑰不會被找到。它掃描落地頁和粗略十五個腳本包，而不是大型站點的每個資源，並且不會登入、不在認證後爬取、不爆破檔案名，也不測試任何未經認證 GET 本就夠不到的東西。掃描限速為每位訪客每小時 5 次，結果快取10 分鐘，因此該窗口內的重掃可能顯示快取結論。掃描也有時間預算：慢目標用完預算時，結果會標為部分並明說——請把部分乾淨結果理解為「未完整檢查」，而不是「乾淨」。

如果掃描發現了問題，工作的順序比刪除的速度更重要。先輪換憑據——撤銷已暴露的金鑰並簽發新金鑰——因為副本可能已經存在於快取、歸檔和別人手裡；刪除檔案只能停止新的下載，對已經流出的金鑰毫無作用。然後在伺服器上移除或封鎖該檔案，清除可能存有副本的 CDN 與代理快取，並檢查存取記錄中對同一路徑的更早請求。配套文章暴露的 .env 檔案與洩漏金鑰按順序走完攻擊者使用的第一小時手冊和完整的復原流程。

相鄰的檢查補全畫面：第三方腳本稽核覆蓋你的頁面載入的外部腳本——那是與自有檔案洩漏不同的供應鏈風險——安全標頭深度檢查則為你的回應所攜帶的瀏覽器保護評分。關於方法的一點說明：乾淨結果意味著在掃描時刻、從檢查器的網路位置看，被探測路徑沒有一條以相符內容回應，被掃描檔案中也沒有出現已知金鑰模式。它是關於那些路徑和檔案的證據，並非對整台伺服器的保證——首先就把檔案放在 Web 根目錄之外，並在每次觸及伺服器發布內容的部署變更後重新掃描。

公佈的探測清單

常見問題