攻击者尝试访问Web服务器的.env文件是在寻找什么漏洞？

探测对应的漏洞类型 #

这类请求属于针对敏感配置文件泄露漏洞的自动化扫描，不属于特定的CVE编号漏洞，本质是攻击脚本批量排查目标站点是否存在部署不规范导致的敏感文件外露风险。

攻击者批量探测的核心原因 #

• .env是当前主流Web开发框架（Laravel、ThinkPHP、Node.js生态、Django等）通用的环境变量存储文件，常规场景下这类文件属于项目内部配置，不应该对外暴露。
• 该文件通常存储项目全量核心敏感数据：包括数据库地址、账号密码、后台加密密钥、第三方服务API密钥、管理员账号预设信息等，一旦攻击者成功获取到该文件，可直接实现脱库、接管服务器、窃取业务数据等恶意操作，攻击收益极高。
• 中小站点开发者普遍存在部署不规范问题：很多人会直接将整个项目源码目录放置在Web服务根目录下，没有单独将框架指定的public目录作为Web入口，导致根目录下的.env文件可以直接通过域名/.env的路径下载，这类低门槛高收益的攻击目标数量多，所以攻击者会全网批量扫描这类路径。

当前风险情况 #

你给出的日志记录为典型的自动化扫描请求：
20.51.221.198 - - [20/Nov/2021:17:37:59 +0000] "GET /.env HTTP/1.1" 404 134 "-" "Anarchy99"
返回404状态码说明你当前站点根目录下没有可公开访问的.env文件，暂时没有该漏洞风险。

后续安全加固建议 #

• 若你的项目使用.env存储配置，部署时务必将Web服务的根目录指向框架要求的公开入口目录（通常为public或dist目录），不要直接将项目源码根目录作为Web可访问目录。
• 可直接在Nginx配置中添加全局拦截规则，屏蔽所有对.env类隐藏文件的访问：

location ~ /\.env {
    deny all;
    return 403;
}

• 定期排查Web可访问目录下是否存在意外放置的.git、config.php、database.yml等其他敏感配置文件/目录。

内容的提问来源于stack exchange，提问作者James Read