Ang mga search engine gihimo aron i-index ang sulud. Bisan pa, gigamit kini sa mga tig-atake aron i-index ang imong mga sayop. Ang pangutana tanan nga teksto:login tipo sa file:log murag dili delikado tan-awon. Sa tinuod lang, kini usa sa pinakasimple nga paagi aron madiskobrehan ang mga na-expose nga log file nga adunay mga authentication flow, credentials, tokens, ug internal infrastructure data.
Kon makita sa Google kadtong mga log, makita usab kini sa mga tig-atake. Kung na-index na, dili kalikayan ang pagkaladlad niini. Dugang pa, kon ang mga kredensyal makita sa usa ka file nga ma-access sa publiko, nagpasabot nga ang paglapas nagsugod na.
1. Ngano nga allintext:login Ang filetype:log Mas Delikado Kay sa Iyang Gitan-aw
Ang Google dork usa ka search query nga naggamit og mga advanced operator aron makit-an ang sensitibo o sayop nga pagka-configure nga sulud nga gi-index sa mga search engine. Dili kini mopahimulos sa Google. Hinuon, kini mopahimulos sa imong exposure.
Kini nga pangutana naghiusa sa duha ka operator:
- tanan nga teksto: mobalik og mga panid diin ang tanang termino makita sa body text
- tipo sa file:log naglimite sa mga resulta ngadto sa
.logfile
Busa:
Nagpasabot: "Ipakita kanako ang mga log file nga adunay sulod nga pulong login. "
Sa unang tan-aw, morag gamay ra kana. Apan, sa tinuod lang, kasagaran kini mobalik:
- Mga log sa web server nga gibutyag sa publiko
- CI/CD mga log nga gi-upload isip mga artifact
- Aksidente nga na-debug ang mga log commitgipahinungod sa mga repositoryo
- Mga log sa aplikasyon nga adunay mga kredensyal sa plaintext
Dili kini usa ka bug sa search engine. Hinuon, kini usa ka kahuyang sa pagkaladlad sa datos tungod sa sayop nga pagka-configure. Gi-index lang sa Google kung unsa ang ma-access sa publiko.
2. Unsa Gyud ang Makita sa mga Tig-atake sa mga Nabutyag nga Log Files
Kon modagan ang mga tig-atake tanan nga teksto:login tipo sa file:log, dili sila basta-basta nga nag-browse. Nangita sila og mga authentication traces.
2.1 Mga Kredensyal sa Plaintext
Ang mga log kanunay adunay mga entry sama sa:
or
O bisan ang mga kredensyal sa SMTP:
Ang pag-log sa mga authentication payload usa sa pinakapaspas nga paagi aron ma-leak ang mga production credentials. Tungod niini, ang usa lang ka na-expose nga log file mahimong makapa-invalidate sa imong tibuok access control model.
2.2 Mga Token sa Sesyon ug mga JWT
Bisan kung ang mga password wala ma-log, ang mga token kanunay nga ma-log.
Pananglitan:
Usa ka balido nga JWT o session cookie sulod sa usa ka .log ang file mahimong makapahimo:
- Pag-hijack sa sesyon
- Pagdako sa pribilehiyo
- Paglihok sa kilid tabok sa mga internal nga sistema
Sa ato pa, ang mga token sa mga log naghimo sa debugging output nga usa ka authentication bypass vector.
2.3 CI/CD Artifacts
Ang mga troso sa pagtukod labi ka delikado. Sa tinuud, CI/CD Ang mga sistema kasagarang mag-imprinta sa mga variable sa palibot atol sa mga lakang sa pagtukod.
Kasagaran madiskobrehan sa mga tig-atake:
Nga adunay mga linya sama sa:
If CI/CD Ang mga artifact kay publiko, unya ang mga sekreto kay publiko. Ang Google dork kay mopaspas lang sa pagdiskubre.
2.4 Datos sa Cloud ug Imprastraktura
Ang mga nabutyag nga mga troso kasagarang nagpadayag:
- Mga yawe sa pag-access sa AWS
- Mga string sa koneksyon sa pagtipig sa Azure
- Mga URL sa serbisyo sa sulod
- Mga kredensyal sa database
- Mga endpoint sa Redis
Bisan kon ang mga kredensyal ibalhin sa ulahi, ang tig-atake karon adunay:
- Pagmapa sa imprastraktura
- Pagngalan sa mga kombensiyon
- Target nga paniktik alang sa umaabot nga mga pag-atake
Busa, ang mga nabutyag nga mga troso naghatag og access ug reconnaissance.
3. Giunsa nga Nahimong Publiko Kini nga mga Log sa Una nga Dapit
Ang mga log dili makita nga kalit lang sa Google. Na-index kini tungod kay kini makita sa publiko.
3.1 Sayop nga Pagkakonfigura sa mga Web Server
Ang kasagarang mga sumbanan naglakip sa:
/logs/mga direktoryo nga ma-access nga walay authentication- Gi-enable ang listahan sa direktoryo
- Nginx o Apache nga nagserbisyo nga hilaw
.logfile
Kon ang usa ka log maabot pinaagi sa HTTP, kini ma-index.
3.2 CI/CD Pagkaladlad sa Artifact
Kasagaran nga mga sayop:
- Gi-enable ang mga pampublikong artifact sa Mga Lihok sa GitHub
- Mga log nga gi-upload sa bukas nga mga S3 bucket
- Pipeline mga agianan nga ma-access bisan walay authentication
A pipeline nga nagtipig og mga troso sa usa ka publikong balde epektibong nagpatik sa mga sekreto niini.
3.3 Debug Mode sa Produksyon
Ang mga default sa Framework mahimong delikado:
Dugang pa, ang sobra nga pag-log sa hangyo mahimong mag-imprinta:
- Mga pangulo
- Mga Token
- Kompleto nga mga lawas sa hangyo
Ang pag-debug logging sa produksiyon mag-usab sa imong aplikasyon ngadto sa usa ka credential exporter.
3.4 Mga Troso sa Docker ug Container
Ang mga containerized nga palibot nagpaila sa bag-ong mga agianan sa pagkaladlad:
- Mga log nga gi-mount sa gipaambit nga mga volume
- Mga Sidecar nga nag-eksport og mga troso ngadto sa mga wala’y kasegurohan nga mga endpoint
- Log dashboards nga adunay pampublikong access
Kon ang mga container log makita pinaagi sa HTTP o open storage, kini ma-search. Sa ngadto-ngadto, kini ma-index.
4. Realistiko nga Pag-agos sa Pag-atake: Gikan sa Dork ngadto sa Breach
Ang tipikal nga kadena sa pag-atake mao kini:
Ang tig-atake modagan:
- Mga nakit-an nga nabutyag
.logfile - Mga kinuha:
- Token sa JWT
- Pangunang ulohan sa Awtorisasyon
- Ang koneksyon sa database string
Mga pagsulay sa pag-authenticate batok sa:
- Mga endpoint sa API
- Mga panel sa administrasyon
- Mga serbisyo sa sulod
Kon molampos ang authentication, ang tig-atake makahimo sa:
- Ipataas ang mga pribilehiyo
- Lihok sa kilid
- access CI/CD
- Ikompromiso ang supply chain
Ang nagsugod isip usa ka pangutana sa pagpangita mahimong:
- Pag-hijack sa sesyon
- Pagpuno sa internal nga kredensyal
- Pipeline pag-ilog
- Pagkahilo sa artifact
Tanan gikan sa usa ka publikong gi-index nga log file.
5. Ngano nga ang Pag-log nga "Sobra ra" Usa ka Problema sa AppSec
Ang pagpamutol og kahoy dili neyutral. Hinuon, kini nagmugna og tindahan sa sekondaryang datos.
Kon imong i-log ang sensitibo nga datos, epektibo kang makahimo og ikaduhang kopya sa imong mga sekreto.
Apan, ang mga log kasagarang wala gilakip sa pagmodelo sa hulga. Ubos sa STRIDE, kini klaro nga nahiuyon sa:
Impormasyon sa Pagbutang
Busa, Luwas SDLC ang mga pamaagi kinahanglan nga motratar sa mga log sama sa:
- Mga artifact nga may kalabutan sa seguridad
- Mga sensitibo nga kabtangan
- Mga sangkap sa imprastraktura nga nanginahanglan og proteksyon
Kon ang imong threat model dili motagad sa mga log, kini dili kompleto.
6. Unsaon Paglikay sa Pagtulo sa Kredensyal sa mga Log File
6.1 Mga Sekreto sa Paghunong sa Pag-log
Ayaw gyud pag-log:
- Mga Sandi
- Mga Token
- Mga yawe sa API
- Mga ID sa Sesyon
- Mga header sa awtorisasyon
Bisan sa debug mode.
Kon mahimo, ipatuman ang awtomatikong pag-edit.
6.2 Estrukturado ug Luwas nga Pag-log
Gamita ang structured logging nga adunay masking ug filtering.
Ehemplo (Node.js):
Ehemplo (Python):
Ang importanteng prinsipyo yano ra: ang mga sekreto dili gyud makaabot sa lababo sa troso.
6.3 Pagtipig sa Lock Down Log
Ang mga kontrol sa seguridad kinahanglan maglakip sa:
- I-disable ang listahan sa direktoryo
- Panalipdi
/logs/mga agianan nga adunay authentication - Limitado ang pag-access sa balde
- Ipadapat ang mga palisiya sa pagpabilin
- I-encrypt ang mga log nga wala pa gigamit
Ang mga log dili gyud angay nga ma-access sa publiko pinaagi sa HTTP.
6.4 CI/CD Guardrails
Dili igo ang manwal nga mga pagrepaso. Hinuon, ipatuman ang awtomatikong mga kontrol:
- Sekreto nga pag-scan sa mga troso sa dili pa imantala ang artifact
- Mapakyas ang mga build kung makit-an ang mga token
- Pugngan ang mga pag-upload sa artifact nga adunay mga kredensyal
- Pag-validate sa hash para sa mga artifact
CI/CD kinahanglan nga babagan ang exposure sa dili pa mahitabo ang indexing.
7. Giunsa Pagpugong sa Xygeni ang allintext:login tipo sa file:log Mga Insidente
Ang problema dili ang pagka-dork sa Google. Ang problema mao ang exposure. Busa, kinahanglan nga maglikay una sa dili pa mag-index.
7.1 Sekreto nga Pag-ila sa mga Troso ug mga Artifact
Mga scan sa Xygeni:
- Mga log sa aplikasyon
- CI/CD mga agianan sa trabaho
- Paghimo og mga artifact
- Mga layer sa Docker
- Mga serialized nga output
Kon ang mga kredensyal, token, o sensitibo nga mga kantidad makita sa .log mga file, i-flag dayon kini sa Xygeni.
7.2 CI/CD Guardrails Kana nga Block Exposure
Imbis nga mosalig sa manwal nga mga pagrepaso, Gipatuman sa Xygeni ang seguridad sa pipeline level:
Kini:
- Mapakyas ang mga build kon ang mga sekreto makita sa mga log
- Gibabagan ang publikasyon sa artifact
- Malikayan ang aksidente nga pagkaladlad sa publiko
- Mopahunong sa dili luwas nga mga paghiusa sa dili pa makaabot sa panguna
Kon ang usa ka CI job mag-imprinta og token, ang pipeline napakyas.
Walay pag-indeks.
Walay exposure.
Walay insidente.
7.3 Proteksyon sa Shift-Left Sa Dili Pa Kini Makita sa Google
Importante ang timing.
Imbis nga mo-react sa:
Gipahunong ni Xygeni ang isyu:
- At commit panahon
- sa panahon sa pull request pag-validate
- sa panahon sa pipeline pagpatay
- Sa wala pa ang pagmantala sa artifact
Kon ang log dili gyud mahimong publiko, dili gyud kini i-index sa Google.
Katapusang Leksyon: Kon Maka-index ang Google, Nahimo Na Kini sa mga Tig-atake
Ang mga log dili delikado. Sa tinuod lang, talagsa ra kini temporaryo. Sa default, dili kini pribado. Busa, ang matag log file kinahanglan nga isipon nga usa ka asset nga may kalabutan sa seguridad, dili lang debugging output.
Kon ang sensitibo nga datos makaabot sa usa ka .log file ug mahimong ma-access sa publiko, kini dayon mahimong usa ka attack surface. Dugang pa, sa higayon nga ma-index sa search engine, ang exposure mosaka nga labaw pa sa imong makontrol.
Ang solusyon dili ang paghunong sa pag-log. Hinuon, kini ang responsable nga pag-log ug pagpatuman sa estrikto nga mga kontrol sa pagtipig ug pag-apod-apod. Sa ato pa, ang seguridad kinahanglan nga molapas sa aplikasyon mismo ug ngadto sa observability layer.
Hinuon:
- Hunonga ang pag-log sa mga sekreto
- I-lock down ang pagtipig og log
- Pagpatuman pipeline guardrails
- Awtomatikong pag-ila ug pagpatuman sa palisiya
Sa katapusan, ang paglikay kay mahitungod sa timing. Kay sa higayon nga tanan nga teksto:login tipo sa file:log ibalik ang imong domain, nagsugod na ang insidente.
