关于信息泄露（2）HG泄露

        介绍一下，hg（Mercurial）是一款分布式版本控制系统(DCVS)，具有高效率、跨平台、可扩展、使用简便且开源等优点，是目前最为流行的版本控制工具之一。Mercurial英文意为水银，所以常被缩写为Hg。与SVN不同（SVN有中央源码服务器，大概了解可以移步上一篇博客），当源码服务器故障或网络不通时，你将无法提交你所做的本地修改。

        然后是漏洞成因：当Mercurial服务器的安全措施不当或用户不小心，可能会导致Mercurial源码的信息泄露的问题，而Mercurial源码信息泄露的原理是因为Mercurial服务器上的源代码未被正确保护，导致未经授权的用户可以轻易地访问和下载代码。从而在代码中获得一些东西，包括敏感信息，例如密码、API密钥和凭据等。同时，可以通过对源代码的分析来获得一些代码存在的漏洞，从而让黑客可以利用该漏洞对网站进行攻击（入侵服务器或者应用）。

        检测方法的话：

        这几个信息泄露的漏洞我觉得就都是直接用扫描工具扫后台，看文件。

实例：（还是以ctfhub为例）

这里已经给了提示

所以直接dirsearch扫

成功找到了.hg后缀文件

然后打开dvcs-ripper-master选择rip-hg.pl

连接网站，将泄露的hg文件下载到本地目录里面

tree命令

发现有一个txt文件，看一下

发现了flag文件的相关信息，用grep找一下

发现了这个txt文件，可以选择通过浏览器直接进入这个文件

也可以通过curl命令，进行连接

都可以得到flag的内容

纯小白，如有错误，欢迎指正。