An gina injunan bincike don yin lissafin abubuwan da ke ciki. Duk da haka, masu kai hari suna amfani da su don yin lissafin kurakuran ku. Tambayar allintext:login nau'in fayil:log na iya zama kamar ba shi da lahani. A zahiri, yana ɗaya daga cikin hanyoyi mafi sauƙi don gano fayilolin rajista da aka fallasa waɗanda ke ɗauke da kwararar tantancewa, takaddun shaida, alamun, da bayanan ababen more rayuwa na ciki.
Idan Google zai iya ganin waɗannan bayanan rajista, masu kai hari suma za su iya gani. Da zarar an yi musu rajista, fallasa zai zama makawa. Bugu da ƙari, idan takardun shaida suka bayyana a cikin fayil ɗin da jama'a za su iya gani, satar ta riga ta fara aiki.
1. Dalilin da yasa aka rubuta allintext:login nau'in fayil:log Ya Fi Haɗari Fiye da Yadda Yake Kama
Google dork tambaya ce ta bincike da ke amfani da masu aiki na zamani don nemo abubuwan da suka dace ko kuma waɗanda ba su dace ba waɗanda injunan bincike suka tsara. Ba ya cin zarafin Google. Madadin haka, yana cin zarafin fallasar ku.
Wannan tambayar ta haɗa masu aiki guda biyu:
- allintext: yana dawo da shafuka inda duk kalmomi suka bayyana a cikin rubutun jiki
- nau'in fayil:log yana iyakance sakamako ga
.logfiles
Saboda haka:
Ma'ana: "Nuna min fayilolin rajista waɗanda ke ɗauke da kalmar login. "
Da farko, hakan ba shi da wani amfani. Amma, a aikace, sau da yawa yana dawowa:
- Rikodin sabar yanar gizo da aka fallasa a bainar jama'a
- CI/CD An loda rajistan ayyukan azaman kayan tarihi
- Gyara kurakurai rajistan ayyukan ba da gangan ba commitan tura zuwa ma'ajiyar kayan ajiya
- Rikodin aikace-aikace tare da takaddun shaida na rubutu mara rubutu
Wannan ba kwaro bane na injin bincike. Madadin haka, raunin fallasa bayanai wanda ya faru sakamakon rashin tsari. Google kawai ya yi amfani da ma'aunin abin da jama'a ke iya samu.
2. Abin da Masu Kai Hare-hare Ke Samu a cikin Fayilolin Bayanan da Aka Bayyana
Lokacin da masu kai hari suka gudu allintext:login nau'in fayil:logBa wai suna bincike bazuwar ba. Suna neman alamun tantancewa.
2.1 Takardun Shaida Masu Sauƙi
Logs galibi suna ɗauke da shigarwar kamar:
or
Ko ma takardun shaidar SMTP:
Tabbacin tantancewa na rajista yana ɗaya daga cikin hanyoyi mafi sauri don fallasa bayanan samarwa. Saboda haka, fayil ɗin rajista guda ɗaya da aka fallasa zai iya ɓatar da tsarin sarrafa damar shiga gaba ɗaya.
2.2 Alamomin Zaman & JWTs
Ko da lokacin da ba a shigar da kalmar sirri ba, alamun suna yawan shiga.
Misali:
Ingancin JWT ko kuki na zaman a cikin .log fayil ɗin zai iya kunna:
- Satar zama
- Girman gata
- Motsi na gefe a cikin tsarin ciki
A wata ma'anar, alamun da ke cikin rajistan ayyukan suna mayar da fitowar gyara kurakurai zuwa vector na tantancewa.
2.3 CI/CD kayayyakin gargajiya
Gina katako yana da haɗari musamman. A gaskiya ma, CI/CD tsarin sau da yawa yana buga masu canjin yanayi yayin matakan gini.
Masu kai hari kan gano sau da yawa:
Ya ƙunshi layuka kamar:
If CI/CD kayan tarihi na jama'a ne, sannan sirrin jama'a ne. Google dork kawai yana hanzarta gano abubuwa.
2.4 Bayanan Gajimare & Kayayyakin more rayuwa
Takardun da aka fallasa sau da yawa suna bayyana:
- Maɓallan shiga AWS
- Tsarin haɗin ajiya na Azure
- URLs na sabis na ciki
- Bayanan bayanan bayanai
- Maƙallan ƙarshe na Redis
Ko da an juya takardun shaidar daga baya, maharin yanzu yana da:
- Taswirar kayayyakin more rayuwa
- Yarjejeniyar sanya suna
- Yi amfani da bayanan sirri don kai hari nan gaba
Saboda haka, sandunan da aka fallasa suna ba da damar shiga da kuma leƙen asiri.
3. Yadda Waɗannan Takardun Tarihi Suke Bayyana a Faɗin Farko
Rikodi ba sa bayyana a Google ta hanyar sihiri. Suna zama masu nuna bayanai saboda an iya isa gare su a bainar jama'a.
3.1 Sabanin Yanar Gizo da Aka Shirya Ba daidai ba
Alamun gama gari sun haɗa da:
/logs/ana iya samun damar kundin adireshi ba tare da tantancewa ba- An kunna jerin kundin adireshi
- Nginx ko Apache suna aiki da sauri
.logfiles
Idan ana iya isa ga log ta hanyar HTTP, ana iya yin index.
3.2 CI/CD Bayyana Kayan Tarihi
Kuskure na yau da kullun:
- An kunna kayan tarihi na jama'a a cikin Ayyukan GitHub
- An ɗora rajista zuwa buckets na S3 na buɗewa
- Pipeline alamun da za a iya samu ba tare da tabbatarwa ba
A pipeline cewa tana adana katako a cikin bokitin jama'a yana buga sirrinta yadda ya kamata.
3.3 Yanayin Gyaran Kuskure a Samarwa
Tsarin tsoho na iya zama haɗari:
Bugu da ƙari, yawan buƙatar rajista na iya bugawa:
- Kai
- Alamu
- Cikakkun ƙungiyoyin buƙata
Shigar da kurakurai a cikin aikin yana canza aikace-aikacenku zuwa mai fitar da takaddun shaida.
3.4 Rijistar Docker & Kwantena
Muhalli masu kwantena suna gabatar da sabbin hanyoyin fallasa:
- An saka rajistan ayyukan a cikin kundin da aka raba
- Motocin gefe suna fitar da katako zuwa wuraren da ba a tabbatar da tsaro ba
- Shiga dashboardtare da damar jama'a
Idan aka fallasa bayanan kwantena ta hanyar HTTP ko kuma wurin ajiya mai buɗewa, ana iya bincika su. Daga ƙarshe, ana yin lissafin su.
4. Guduwar Hari ta Gaske: Daga Dork zuwa Karya
Sarkar hare-hare ta yau da kullun tana kama da haka:
Mai kai hari yana gudu:
- An gano an fallasa
.logfayil - Abubuwan da aka cire:
- Alamar JWT
- Kanun izini na asali
- Saitin haɗin bayanai
Ƙoƙarin tantancewa akan:
- ƙarshen API
- Bangarorin gudanarwa
- Ayyukan ciki
Idan tabbatarwa ta yi nasara, maharin zai iya:
- Ƙara gata
- Matsar da gefe
- Access CI/CD
- Saɓa wa tsarin samar da kayayyaki
Abin da ya fara a matsayin tambayar bincike ya zama:
- Satar zama
- Cike takardun shaida na ciki
- Pipeline take
- Gubar kayan tarihi
Duk daga fayil ɗin rajista da aka yi wa alama a bainar jama'a.
5. Dalilin da yasa yin rajista "Yawa" shine matsalar AppSec
Yin rajista ba abu ne mai tsaka-tsaki ba. Madadin haka, yana haifar da ɗakin adana bayanai na biyu.
Idan ka rubuta bayanai masu mahimmanci, to za ka ƙirƙiri kwafin sirrinka na biyu yadda ya kamata.
Duk da haka, galibi ana cire rajistan ayyukan daga tsarin barazanar. A ƙarƙashin STRIDE, wannan a bayyane yake yana nuna zuwa:
Bayanin Bayyanawa
Saboda haka, Tsaro SDLC Dole ne a yi la'akari da ayyukan log kamar haka:
- Kayayyakin tarihi masu dacewa da tsaro
- Kadarori masu mahimmanci
- Abubuwan da ke cikin kayayyakin more rayuwa da ke buƙatar kariya
Idan tsarin barazanar ku ya yi watsi da rajistar, bai cika ba.
6. Yadda Ake Hana Zubar da Bayanan Sirri a Fayilolin Rijista
6.1 Dakatar da Sirrin Rijista
Kada a taɓa yin rajista:
- Kalmomin shiga
- Alamu
- Maɓallan API
- ID na Zaman
- Kanun labarai na izini
Ko da a yanayin gyara kurakurai.
Duk lokacin da zai yiwu, aiwatar da gyara ta atomatik.
6.2 Tsarin Rijista Mai Tsari & Mai Aminci
Yi amfani da tsarin yin rajista tare da rufewa da tacewa.
Misali (Node.js):
Misali (Python):
Babban ƙa'idar abu ne mai sauƙi: sirri ba zai taɓa isa wurin wanke katako ba.
6.3 Ajiyar Kulle-kulle
Ya kamata hukumomin tsaro su haɗa da:
- Kashe jerin kundin adireshi
- kare
/logs/hanyoyi masu tabbatar da gaskiya - Taƙaita damar shiga bokiti
- Aiwatar da manufofin riƙewa
- Ƙirƙiri log ɗin a lokacin hutu
Bai kamata a taɓa samun damar yin rajista a bainar jama'a ta hanyar HTTP ba.
6.4 CI/CD Guardrails
Sharhin da aka yi da hannu bai isa ba. Madadin haka, aiwatar da sarrafawa ta atomatik:
- Binciken sirri na katako kafin wallafa kayan tarihi
- Ginawar gazawa idan an gano alamun
- Hana loda kayan tarihi da ke ɗauke da takaddun shaida
- Tabbatar da Hash don kayan tarihi
CI/CD ya kamata ya toshe fallasa kafin a yi amfani da indexing.
7. Yadda Xygeni ke Hana rubutu allintext:login nau'in fayil: Abubuwan da suka faru na log
Matsalar ba Google dork ba ce. Matsalar ita ce fallasa. Saboda haka, dole ne a yi rigakafi kafin a yi amfani da bayanai.
7.1 Gano Sirri a cikin Takardu da Kayayyakin Tarihi
Na'urar daukar hoton Xygeni:
- Rukunin aikace-aikacen
- CI/CD alamun aiki
- Gina kayan tarihi
- Matakan Docker
- Fitowar da aka tsara
Idan takardun shaida, alamu, ko ƙima masu mahimmanci sun bayyana a cikin .log fayiloli, Xygeni ya yi musu alama nan take.
7.2 CI/CD Guardrails Wannan Toshewar Toshe
Maimakon dogara ga sake dubawa da hannu, Xygeni ya tabbatar da tsaro a wurin pipeline matakin:
Wannan:
- Rashin ginawa lokacin da sirri ya bayyana a cikin rajistan ayyukan
- Buga kayan tarihi na tubalan
- Yana hana fallasa jama'a ba da gangan ba
- Yana dakatar da haɗakar da ba ta da aminci kafin ya isa babban
Idan aikin CI ya buga alama, pipeline ta kasa.
Babu nuna fifiko.
Babu fallasa.
Babu wani abin da ya faru.
7.3 Kariyar Shift-Hagu Kafin Google Ya Ganta
Matsalolin lokaci.
Maimakon mayar da martani ga:
Xygeni ya dakatar da batun:
- At commit lokaci
- A lokacin pull request Ingancin
- A lokacin pipeline kisa
- Kafin wallafa kayan tarihi
Idan shafin yanar gizon bai taɓa zama na jama'a ba, Google ba zai taɓa yin amfani da shi ba.
Darasi na Ƙarshe: Idan Google Zai Iya Nuna Shi, Masu Hare-hare Sun riga Sun Yi
Logs ba su da lahani. A gaskiya ma, ba kasafai suke zama na ɗan lokaci ba. A tsarin da aka saba, ba na sirri ba ne. Saboda haka, ya kamata a ɗauki kowane fayil ɗin log a matsayin kadara mai dacewa da tsaro, ba wai kawai a gyara kurakurai ba.
Idan bayanai masu mahimmanci suka kai ga .log fayil ɗin kuma yana zama mai sauƙin samu ga jama'a, Nan take ya koma saman hari. Bugu da ƙari, da zarar an yi amfani da injin bincike, fallasar ta fi ƙarfin ikonka.
Mafita ba ita ce a daina yin rajistar ba. Maimakon haka, a yi rajista cikin aminci tare da aiwatar da tsauraran matakai game da adanawa da rarrabawa. A wata ma'anar, tsaro dole ne ya wuce aikace-aikacen da kansa har zuwa matakin lura.
Madadin haka:
- Dakatar da yin rikodin sirrin
- Ajiyar katako a kulle
- Aiwatar pipeline guardrails
- Ganowa ta atomatik da aiwatar da manufofi
Ƙarshe, Rigakafi yana game da lokaci. Domin sau ɗaya allintext:login nau'in fayil:log yana dawo da yankinku, lamarin ya riga ya fara.
