Motè rechèch yo te fèt pou endekse kontni. Sepandan, atakè yo itilize yo pou endekse erè ou yo. Rechèch la allintext:login kalite fichye: jounal ka sanble inosan. An reyalite, li se youn nan fason ki pi senp pou dekouvri fichye jounal ekspoze ki gen ladan yo koule otantifikasyon, kalifikasyon, jeton, ak done enfrastrikti entèn.
Si Google ka wè jounal sa yo, atakè yo kapab tou. Yon fwa yo endekse yo, ekspozisyon vin inevitab. Anplis, lè enfòmasyon yo parèt nan yon dosye aksesib piblikman, vyolasyon an deja an mouvman.
1. Poukisa allintext:login filetype:log pi danjere pase sa li sanble
Yon Google dork se yon demann rechèch ki itilize operatè avanse pou lokalize kontni sansib oswa mal konfigire ki endekse pa motè rechèch yo. Li pa eksplwate Google. Okontrè, li eksplwate ekspozisyon ou.
Rechèch sa a konbine de operatè:
- allintext: retounen paj kote tout tèm yo parèt nan kò tèks la
- kalite fichye: jounal limite rezilta yo a
.logdosye
Se poutèt sa:
Sa vle di: “Montre m fichye jounal ki genyen mo sa a login".
Okòmansman, sa sanble san enpòtans. Sepandan, an pratik, souvan li retounen:
- Jounal sèvè entènèt ki ekspoze piblikman
- CI/CD jounal yo telechaje kòm atifak
- Jounal debogaj aksidantèlman commitmete nan depo
- Jounal aplikasyon ak kalifikasyon tèks klè
Sa a se pa yon pwoblèm motè rechèch. Okontrè, se yon vilnerabilite ekspozisyon done koze pa move konfigirasyon. Google te senpleman endekse sa ki te aksesib piblikman.
2. Sa atakè yo aktyèlman jwenn nan dosye jounal ekspoze yo
Lè atakè yo kouri allintext:login kalite fichye: jounal, yo pa ap navige o aza. Y ap chèche tras otantifikasyon.
2.1 Kalifikasyon tèks klè
Jounal yo souvan genyen antre tankou:
or
Oswa menm kalifikasyon SMTP:
Anrejistreman chaj otantifikasyon yo se youn nan fason ki pi rapid pou fè kalifikasyon pwodiksyon yo koule. Kidonk, yon sèl fichye jounal ki ekspoze ka anile tout modèl kontwòl aksè ou a.
2.2 Jeton Sesyon ak JWT
Menm lè modpas yo pa anrejistre, souvan jeton yo anrejistre.
Pou egzanp:
Yon bonbon JWT oswa yon bonbon sesyon ki valab andedan yon .log dosye a ka pèmèt:
- Sesyon eskanmòte
- Eskalad privilèj
- Mouvman lateral atravè sistèm entèn yo
Nan lòt mo, jeton ki nan jounal yo transfòme rezilta debogaj la an yon vektè kontoune otantifikasyon.
2.3 CI/CD Zafè
Jounal konstriksyon yo patikilyèman danjere. Anfèt, CI/CD Sistèm yo souvan enprime varyab anviwònman pandan etap konstriksyon yo.
Moun ki atake yo souvan dekouvri:
Ki gen ladan liy tankou:
If CI/CD Si atifak yo piblik, se konsa sekrè yo piblik tou. Moun Google la tou senpleman akselere dekouvèt la.
2.4 Done nan Cloud ak Enfrastrikti
Souvan, dosye ki ekspoze yo revele:
- Kle aksè AWS yo
- Chèn koneksyon depo Azure yo
- URL sèvis entèn yo
- Kalifikasyon baz done
- Pwen final Redis yo
Menm si yo chanje kalifikasyon yo pita, atakè a kounye a posede:
- Katografi enfrastrikti
- Konvansyon nonmen
- Sib entèlijans pou atak nan lavni
Se poutèt sa, bwa ki ekspoze yo bay tou de aksè ak rekonesans.
3. Kijan Jounal sa yo Vin Piblik an Premye Plas
Jounal yo pa parèt majikman nan Google. Yo vin endekse paske yo te aksesib piblikman.
3.1 Sèvè entènèt ki mal konfigire
Modèl komen yo enkli:
/logs/anyè aksesib san otantifikasyon- Lis anyè aktive
- Nginx oubyen Apache k ap sèvi kri
.logdosye
Si yon jounal aksesib sou HTTP, li ka endekse.
3.2 CI/CD Ekspozisyon Atifak
Erè tipik:
- Atifak piblik aktive nan Aksyon GitHub
- Yo telechaje jounal yo pou louvri bokit S3 yo
- Pipeline tras aksesib san otantifikasyon
A pipeline ki estoke jounal nan yon bokit piblik pibliye sekrè li yo efektivman.
3.3 Mòd Debogaj nan Pwodiksyon
Defo kad yo kapab danjere:
Anplis de sa, twòp anrejistreman demann ka enprime:
- Tèt
- Marqueur
- Kò demann konplè yo
Koneksyon debogaj nan pwodiksyon transfòme aplikasyon w lan an yon ekspòtatè kalifikasyon.
3.4 Jounal Docker ak Kontenè
Anviwònman ki nan kontenè yo prezante nouvo chemen ekspozisyon:
- Jounal yo monte nan volim pataje yo
- Sidecars k ap ekspòte jounal nan pwen final ki pa garanti
- Log dashboards ak aksè piblik
Si jounal kontenè yo ekspoze atravè HTTP oswa depo ouvè, ou ka fè rechèch ladan yo. Evantyèlman, yo endekse.
4. Koule Atak Reyalis: Soti nan Dork rive nan Breach
Yon chèn atak tipik sanble ak sa a:
Atakan an kouri:
- Jwenn ekspoze
.logdosye - Ekstrè:
- Jeton JWT
- Antèt otorizasyon debaz
- Chèn koneksyon baz done
Tantativ otantifikasyon kont:
- Pwen final API yo
- Panèl administrasyon yo
- Sèvis entèn yo
Si otantifikasyon an reyisi, atakè a kapab:
- Ogmante privilèj yo
- Deplase lateralman
- Aksè CI/CD
- Konpwomèt chèn ekipman an
Sa ki te kòmanse kòm yon demann rechèch vin tounen:
- Sesyon eskanmòte
- Ranpli kalifikasyon entèn
- Pipeline kontwòl
- Anpwazònman ak atifak
Tout soti nan yon dosye jounal ki endèkse piblikman.
5. Poukisa anrejistreman "twòp" se yon pwoblèm AppSec
Eksplwatasyon bwa pa net. Okontrè, li kreye yon depo done segondè.
Si ou anrejistre done sansib, ou efektivman kreye yon dezyèm kopi sekrè ou yo.
Sepandan, yo souvan eskli jounal yo nan modèl menas la. Anba STRIDE, sa klèman koresponn ak:
Divilgasyon Enfòmasyon
Se poutèt sa, an sekirite SDLC Pratik yo ta dwe trete jounal yo kòm:
- Atifak ki enpòtan pou sekirite
- Byen sansib
- Konpozan enfrastrikti ki bezwen pwoteksyon
Si modèl menas ou a inyore jounal yo (log), li pa konplè.
6. Kijan pou anpeche flit kalifikasyon nan dosye jounal yo
6.1 Sekrè pou sispann anrejistreman
Pa janm konekte:
- Modpas
- Marqueur
- Kle API
- ID Sesyon yo
- Antèt otorizasyon yo
Menm nan mòd debogaj.
Chak fwa sa posib, aplike koreksyon otomatik.
6.2 Anrejistreman estriktire ak an sekirite
Sèvi ak anrejistreman estriktire avèk maskin ak filtraj.
Egzanp (Node.js):
Egzanp (Python):
Prensip kle a senp: sekrè yo pa dwe janm rive nan koule bwa a.
6.3 Depo Log anba kle
Kontwòl sekirite yo ta dwe gen ladan:
- Dezaktive lis anyè a
- Pwoteje
/logs/chemen ak otantifikasyon - Limite aksè nan bokit la
- Aplike règleman retansyon yo
- Chifre jounal yo lè yo an repo
Jounal yo pa dwe janm aksesib piblikman atravè HTTP.
6.4 CI/CD Guardrails
Revizyon manyèl yo pa sifi. Olye de sa, aplike kontwòl otomatik:
- Eskane sekrè jounal yo anvan piblikasyon atifak la
- Konstriksyon yo echwe si yo detekte jeton yo
- Anpeche telechajman atifak ki gen kalifikasyon
- Validasyon Hash pou artefak
CI/CD ta dwe bloke ekspozisyon anvan endèksasyon an fèt.
7. Kijan Xygeni anpeche allintext:login kalite fichye: jounal Ensidan yo
Pwoblèm nan se pa moun sòt Google la. Pwoblèm nan se ekspozisyon. Se poutèt sa, prevansyon dwe fèt anvan endèksasyon.
7.1 Deteksyon Sekrè nan Jounal ak Atifak
Eskane Xygeni yo:
- Aplikasyon mòso bwa
- CI/CD tras travay
- Bati atifak
- Kouch Docker yo
- Sòti serilize
Si kalifikasyon, jeton, oswa valè sansib parèt nan .log fichye yo, Xygeni siyalize yo imedyatman.
7.2 CI/CD Guardrails Ekspozisyon blòk sa a
Olye pou w konte sou revizyon manyèl, Xygeni ranfòse sekirite nan pipeline nivo:
Sa a:
- Echwe konstriksyon lè sekrè parèt nan jounal yo
- Bloke piblikasyon atifak
- Anpeche ekspozisyon aksidantèl an piblik
- Sispann fizyon ki pa an sekirite anvan yo rive nan pwen prensipal la
Si yon travay CI enprime yon jeton, la pipeline echwe.
Pa gen endèksasyon.
Pa gen ekspozisyon.
Pa gen okenn ensidan.
7.3 Pwoteksyon Shift-Left Anvan Google Wè Li
Tan an enpòtan.
Olye pou w reyaji a:
Xygeni sispann pwoblèm nan:
- At commit tan
- Pandan pull request validation
- Pandan pipeline ekzekisyon
- Anvan piblikasyon atifak la
Si jounal la pa janm vin piblik, Google pa janm endekse li.
Konklizyon final: Si Google ka endekse li, atakè yo deja fè sa.
Fichye jounal yo pa danjere. Anfèt, yo raman tanporè. Pa defaut, yo pa prive. Se poutèt sa, chak fichye jounal ta dwe trete kòm yon byen ki enpòtan pou sekirite, pa sèlman kòm yon rezilta debogaj.
Si done sansib rive nan yon .log dosye a epi li vin aksesib piblikman, li imedyatman transfòme an yon sifas atak. Anplis, yon fwa yon motè rechèch endekse li, ekspozisyon an ap ogmante san kontwòl ou.
Solisyon an se pa sispann anrejistreman done yo. Okontrè, se anrejistreman done yo yon fason responsab epi aplike kontwòl strik sou depo ak distribisyon. Nan lòt mo, sekirite a dwe pwolonje pi lwen pase aplikasyon an li menm epi rive nan kouch obsèvasyon an.
Olye de sa:
- Sispann anrejistre sekrè yo
- Bloke depo jounal yo
- Ranfòse pipeline guardrails
- Otomatize deteksyon ak aplikasyon règleman yo
Alafen, prevansyon se yon kesyon de tan. Paske yon fwa allintext:login kalite fichye: jounal retounen domèn ou an, ensidan an deja kòmanse.
