Sykmasines binne boud om ynhâld te yndeksearjen. Oanfallers brûke se lykwols om jo flaters te yndeksearjen. De fraach allintext:login bestânstype: log kin der ûnskealik útsjen. Yn werklikheid is it ien fan 'e ienfâldichste manieren om bleatstelde logbestannen te ûntdekken dy't autentikaasjestreamen, ynloggegevens, tokens en ynterne ynfrastruktuergegevens befetsje.
As Google dy logs sjen kin, kinne oanfallers dat ek. Sadree't se yndeksearre binne, wurdt bleatstelling ûnûntkomber. Boppedat, as ynloggegevens ferskine yn in iepenbier tagonklik bestân, is de ynbreuk al oan 'e gong.
1. Wêrom allintext:login filetype:log is gefaarliker as it liket
In Google-nork is in sykfraach dy't avansearre operators brûkt om gefoelige of ferkeard ynstelde ynhâld te finen dy't troch sykmasines yndeksearre is. It eksploitearret Google net. Ynstee dêrfan eksploitearret it jo bleatstelling.
Dizze query kombinearret twa operators:
- allintext: jout siden werom wêr't alle termen yn 'e lichemstekst ferskine
- bestânstype: log beheint resultaten ta
.logbestannen
Dêrom:
Betsjut: "Lit my logbestannen sjen dy't it wurd befetsje login. "
Op it earste gesicht liket dat triviaal. Mar yn 'e praktyk komt it faak werom:
- Iepenbier bleatstelde webserverlogs
- CI/CD logs uploaden as artefakten
- Debug logs per ongeluk commitnei repositories
- Applikaasjelogboeken mei plattetekstgegevens
Dit is gjin sykmasjinebug. Ynstee dêrfan is it in kwetsberens foar gegevensblootstelling feroarsake troch ferkearde konfiguraasje. Google yndeksearre gewoan wat iepenbier tagonklik wie.
2. Wat oanfallers eins fine yn bleatstelde logbestannen
As oanfallers rinne allintext:login bestânstype: log, se blêdzje net willekeurich. Se binne op syk nei autentikaasjespoaren.
2.1 Plaintext-oanmeldingsgegevens
Logboeken befetsje faak yngongen lykas:
or
Of sels SMTP-gegevens:
It loggen fan autentikaasje-payloads is ien fan 'e rapste manieren om produksjegegevens te lekken. Dêrtroch kin ien bleatsteld logbestân jo heule tagongskontrôlemodel ûnjildich meitsje.
2.2 Sesjetokens en JWT's
Sels as wachtwurden net registrearre wurde, binne tokens dat faak wol.
Bygelyks:
In jildige JWT- of sesjekoekje binnen in .log triem kin aktivearje:
- Sesje kaping
- Privilaasje-eskalaasje
- Laterale beweging oer ynterne systemen
Mei oare wurden, tokens yn logs feroarje debugging-útfier yn in autentikaasje-bypass-fektor.
2.3 CI/CD Artifacts
Boulogboeken binne foaral gefaarlik. Eins, CI/CD systemen printsje faak omjouwingsfariabelen tidens boustappen.
Oanfallers ûntdekke faak:
Mei rigels lykas:
If CI/CD artefakten binne iepenbier, dan binne geheimen iepenbier. De Google-nerd fersnelt gewoan ûntdekking.
2.4 Wolk- en ynfrastruktuergegevens
Bleatstelde logs litte faak sjen:
- AWS-tagongskaaien
- Azure opslachferbiningstrings
- Ynterne tsjinst-URL's
- Database-gegevens
- Redis-einpunten
Sels as ynloggegevens letter rotearre wurde, hat de oanfaller no:
- Ynfrastruktuer yn kaart bringen
- Naming konvinsjes
- Doelwitynformaasje foar takomstige oanfallen
Dêrom biede bleatstelde logs sawol tagong as ferkenning.
3. Hoe dizze logs yn it foarste plak iepenbier wurde
Logs ferskine net magysk yn Google. Se wurde yndeksearre om't se iepenbier tagonklik wiene.
3.1 Ferkeard konfigurearre webservers
Mienskiplike patroanen omfetsje:
/logs/mappen tagonklik sûnder autentikaasje- Directorylisting ynskeakele
- Nginx of Apache tsjinnet rau
.logbestannen
As in log berikber is fia HTTP, is it yndeksearber.
3.2 CI/CD Artefaktbleatstelling
Typyske flaters:
- Iepenbiere artefakten ynskeakele yn GitHub -aksjes
- Logs uploaden nei iepen S3-buckets
- Pipeline spoaren tagonklik sûnder autentikaasje
A pipeline dat logs yn in iepenbiere bucket bewarret, publisearret effektyf syn geheimen.
3.3 Debugmodus yn produksje
Framework-standerts kinne gefaarlik wêze:
Derneist kin oermjittige oanfraachlogging printsje:
- Berjochtkoppen
- tokens
- Folsleine oanfraachteksten
Debug-logging yn produksje transformearret jo applikaasje yn in eksporteur fan ynloggegevens.
3.4 Docker- en kontenerlogboeken
Kontenerisearre omjouwings yntrodusearje nije bleatstellingspaden:
- Logs monteard yn dielde folumes
- Sidecars eksportearje logs nei ûnfeilige einpunten
- Lochboek dashboards mei iepenbiere tagong
As kontenerlogs bleatsteld wurde fia HTTP of iepen opslach, binne se trochsykber. Uteinlik wurde se yndeksearre.
4. Realistyske oanfalsstream: Fan Dork oant Breach
In typyske oanfalsketen sjocht der sa út:
Oanfaller rint:
- Fynsten bleatsteld
.logmap - Extracts:
- JWT-token
- Basis-autorisaasjekoptekst
- Databaseferbiningstring
Besiket autentikaasje tsjin:
- API-einpunten
- Behearpanielen
- Ynterne tsjinsten
As autentikaasje slagget, kin de oanfaller:
- Privileezjes eskalearje
- Lateraal bewege
- Tagong CI/CD
- De leveringsketen kompromittearje
Wat begûn as in sykfraach wurdt:
- Sesje kaping
- Ynterne ynfolling fan kwalifikaasjes
- Pipeline oernimme
- Artefaktfergiftiging
Alles út in iepenbier yndeksearre logbestân.
5. Wêrom it "tefolle" loggen in AppSec-probleem is
Logging is net neutraal. Ynstee dêrfan makket it in sekundêre gegevensopslach.
As jo gefoelige gegevens registrearje, meitsje jo effektyf in twadde kopy fan jo geheimen.
Logs wurde lykwols faak útsletten fan bedrigingsmodellering. Under STRIDE wurdt dit dúdlik ferwiisd nei:
Ynformaasje Ferklearring
Dêrom, feilich SDLC praktyken moatte logs behannelje as:
- Feiligens-relevante artefakten
- Gefoelige aktiva
- Ynfrastruktuerkomponinten dy't beskerming nedich binne
As jo bedrigingsmodel logs negeart, is it ûnfolslein.
6. Hoe kinne jo lekkage fan ynloggegevens yn logbestannen foarkomme
6.1 Stopje mei it registrearjen fan geheimen
Nea oanmelde:
- Passwords
- tokens
- API kaaien
- Sesje-ID's
- Autorisaasjekopteksten
Sels yn debugmodus.
As it mooglik is, ymplementearje automatyske redaksje.
6.2 Strukturearre en feilige logging
Brûk strukturearre logging mei maskering en filterjen.
Foarbyld (Node.js):
Foarbyld (Python):
It wichtichste prinsipe is ienfâldich: geheimen meie nea de houtspoelbak berikke.
6.3 Logopslach beskoattelje
Feiligenskontrôles moatte omfetsje:
- Maplist útskeakelje
- Beskermje
/logs/paden mei autentikaasje - Tagong ta emmer beheine
- Bewaringsbelied tapasse
- Logs yn rêst fersiferje
Logs meie nea iepenbier berikber wêze fia HTTP.
6.4 CI/CD Guardrails
Manuele resinsjes binne net genôch. Ymplementearje ynstee automatisearre kontrôles:
- Geheim scannen fan logs foar publikaasje fan artefakten
- Mislearje builds as tokens wurde ûntdutsen
- Foarkom uploads fan artefakten mei ynloggegevens
- Hash-falidaasje foar artefakten
CI/CD moat bleatstelling blokkearje foardat yndeksearring plakfynt.
7. Hoe Xygeni allintext foarkomt:login bestânstype: log Ynsidinten
It probleem is net de Google-nerd. It probleem is bleatstelling. Dêrom moat previnsje plakfine foardat yndeksearre wurdt.
7.1 Geheime deteksje yn logs en artefakten
Xygeni-scans:
- Applikaasje logs
- CI/CD wurkspoaren
- Bou artefakten
- Docker-lagen
- Serialisearre útfier
As ynloggegevens, tokens of gefoelige wearden ferskine yn .log bestannen, markearret Xygeni se fuortendaliks.
7.2 CI/CD Guardrails Dy blokkearbleatstelling
Ynstee fan te fertrouwen op hânmjittige resinsjes, Xygeni hanthavenet feiligens by de pipeline peil:
Dizze:
- Mislearret builds as geheimen yn logs ferskine
- Blokkearret publikaasje fan artefakten
- Foarkomt tafallige bleatstelling oan it publyk
- Stopet ûnfeilige gearfoegings foardat se de haadfunksje berikke
As in CI-taak in token printet, dan pipeline mislearret.
Gjin yndeksearring.
Gjin bleatstelling.
Gjin ynsidint.
7.3 Shift-Lofts Beskerming Foardat Google It Sjocht
Timing is wichtich.
Ynstee fan te reagearjen op:
Xygeni stoppet it probleem:
- At commit tiid
- Tidens pull request falidaasje
- Tidens pipeline eksekúsje
- Foar publikaasje fan artefakten
As it logboek nea iepenbier wurdt, yndeksearret Google it nea.
Finale konklúzje: As Google it yndeksearje kin, hawwe oanfallers dat al dien
Logs binne net ûnskealik. Eins binne se selden tydlik. Standert binne se net privee. Dêrom moat elk logbestân behannele wurde as in feiligensrelevante asset, net allinich as debugging-útfier.
As gefoelige gegevens in .log bestân en wurdt iepenbier tagonklik, it feroaret fuortendaliks yn in oanfalsoerflak. Boppedat, as it ienris yndeksearre is troch in sykmasine, skaalt de bleatstelling bûten jo kontrôle.
De oplossing is net om te stopjen mei logging. It is leaver om ferantwurdlik te loggen en strange kontrôles te hanthavenjen oer opslach en distribúsje. Mei oare wurden, feiligens moat fierder gean as de applikaasje sels en yn 'e observearberens laach.
Ynstee:
- Stopje mei it loggen fan geheimen
- Logopslach blokkearje
- Hanthavenje pipeline guardrails
- Automatisearje deteksje en beliedshandhaving
úteinlik, previnsje giet oer timing. Want ien kear allintext:login bestânstype: log jo domein weromjout, is it ynsidint al begûn.
