物理路径泄露，物理说白了就是泄露攻击者通过你设备上的文件路径，摸清你的物理系统结构、软件版本、泄露甚至个人习惯。物理这不是泄露什么高深的黑客技巧，但它的物理危害往往被低估。

一个真实的泄露例子。去年我帮朋友排查一台被入侵的物理服务器，发现日志里有一条异常请求：GET /var/www/html/admin/backup/2023_11_15.sql.zip。泄露攻击者根本没猜密码，物理直接通过报错信息里暴露的泄露绝对路径，找到了备份文件的物理位置。那个zip没设权限保护，泄露几秒钟就下载走了整个数据库。物理

路径从哪泄露的？最常见的是错误页面。你访问一个不存在的文件，PHP报错会把完整路径打出来，比如/home/user/public_html/config.php。别小看这行字，它直接告诉对方：服务器用的什么系统、网站放在哪个目录、甚至用户名是什么。有了这些，下一步就能针对性地构造攻击。

还有一种更隐蔽的泄露方式——前端代码。很多开发者习惯在JavaScript里硬编码路径，比如fetch('/api/v1/internal/debug?file=../../etc/passwd')。虽然浏览器不会直接执行目录穿越，但路径本身透露了后端目录结构。我见过一个电商网站，前端JS里藏着/admin/upload/temp/这个路径，攻击者顺着它找到了一个未删除的上传测试文件，里面是服务器配置的备份。

个人设备上也一样。Windows的C:\Users\Administrator\Documents路径一旦通过截图、日志或错误报告传出去，攻击者就知道你用的是管理员账户。配合一些已知的提权漏洞，可能直接拿下系统权限。我有个同事，电脑蓝屏后把错误截图发到技术论坛求助，截图里显示了C:\Windows\System32\drivers\etc\hosts的路径。结果有人顺着这个信息，发现他装了特定版本的安全软件，然后利用该软件的漏洞远程控制了他的电脑。

防御其实不难。第一，服务器端关闭所有详细错误显示，统一返回404或500页面。第二，代码里避免使用绝对路径，改用相对路径或环境变量。第三，定期检查前端代码和日志，看看有没有暴露内部目录结构。第四，个人设备上，截图前先检查是否包含文件管理器地址栏或编辑器路径栏。

路径泄露不像SQL注入那样能直接拿数据，但它像给攻击者递了一张内部地图。地图越详细，攻击就越精准。别觉得这是小事，很多大型入侵事件的第一步，就是从某个不起眼的路径开始的。