Sichmaschinne goufe gebaut fir Inhalter ze indexéieren. Attacker benotze se awer fir Är Feeler ze indexéieren. D'Ufro allintext:login Dateityp: Log kéint harmlos ausgesinn. A Wierklechkeet ass et eng vun den einfachste Weeër fir exposéiert Logdateien ze entdecken, déi Authentifikatiounsflëss, Umeldungsinformatiounen, Tokens an intern Infrastrukturdaten enthalen.
Wann Google dës Logbicher ka gesinn, kënnen d'Attacker dat och. Soubal se indexéiert sinn, ass d'Expositioun inévitabel. Ausserdeem, wann d'Umeldungsinformatiounen an enger ëffentlech zougänglecher Datei erschéngen, ass d'Lecke scho amgaang.
1. Firwat allintext:login filetype:log ass méi geféierlech wéi et ausgesäit
E Google Dork ass eng Sichufro, déi fortgeschratt Operatoren benotzt fir sensibel oder falsch konfiguréiert Inhalter ze fannen, déi vu Sichmaschinne indexéiert goufen. Si notzt Google net aus. Amplaz notzt se Är Visibilitéit aus.
Dës Ufro kombinéiert zwéi Operatoren:
- allintext: gëtt Säiten zréck, wou all Begrëffer am Kierpertext erschéngen
- Dateityp: Log limitéiert Resultater op
.logFichieren
Dofir:
Bedeit: "Weist mir Logdateien, déi dëst Wuert enthalen login. "
Op den éischte Bléck schéngt dat trivial. Awer an der Praxis kënnt et dacks zréck:
- Ëffentlech verfügbar Webserverprotokoller
- CI/CD Logbicher déi als Artefakte eropgeluede goufen
- Debug-Logs zoufälleg commitun d'Repositories zougewisen
- Applikatiounsprotokoller mat Klartext-Umeldungsinformatiounen
Dëst ass kee Sichmaschinnfehler. Amplaz ass et en Schwachstelle vun Datenexpositioun duerch eng falsch Konfiguratioun verursaacht. Google huet einfach dat indexéiert, wat ëffentlech zougänglech war.
2. Wat Attacker tatsächlech an exposéierte Logdateien fannen
Wann d'Attackanten lafen allintext:login Dateityp: Log, si surfen net zoufälleg. Si sichen no Authentifikatiounsspuren.
2.1 Kloertext-Umeldungsinformatiounen
Logbicher enthalen dacks Entréen wéi:
or
Oder souguer SMTP-Umeldungsdaten:
D'Protokolléiere vun Authentifikatiouns-Payloads ass eng vun de schnellste Weeër fir Produktiounsdaten ze lecken. Dofir kann eng eenzeg exposéiert Logdatei Äert ganzt Zougangskontrollmodell ongëlteg maachen.
2.2 Sessiounstoken & JWTs
Och wann Passwierder net geloggt ginn, ginn Tokens dacks geloggt.
Zum Beispill:
E gültege JWT- oder Sessiounscookie an engem .log Datei kann aktivéieren:
- Sessioun Entféierung
- Privileg Eskalatioun
- Lateral Bewegung iwwer intern Systemer
An anere Wierder, Tokens a Logbicher maachen d'Debugging-Ausgab an en Authentifikatiouns-Bypass-Vektor ëm.
2.3 CI/CD Artifacts
Bauprotokoller si besonnesch geféierlech. Tatsächlech, CI/CD Systemer drécken dacks Ëmweltvariablen während de Bauschrëtt.
Attacker entdecken dacks:
Enthält Zeilen wéi:
If CI/CD Artefakte sinn ëffentlech, dann sinn Geheimnisser ëffentlech. Den Nervenkitzel vu Google beschleunegt einfach d'Entdeckung.
2.4 Cloud- & Infrastrukturdaten
Ausgesat Protokoller weisen dacks op:
- AWS Zougangsschlësselen
- Azure Storage Verbindungszeechen
- Intern Service-URLen
- Datebank-Umeldungsdaten
- Redis Endpunkten
Och wann d'Umeldungsinformatioune spéider rotéiert ginn, huet den Ugräifer elo:
- Infrastrukturkartifikatioun
- Benennungskonventiounen
- Zilgeheimdéngschter fir zukünfteg Attacken
Dofir bidden ausgesat Protokoller souwuel Zougang wéi och Erkundung.
3. Wéi dës Logbicher iwwerhaapt ëffentlech ginn
Logbicher erschéngen net magesch a Google. Si ginn indexéiert, well se ëffentlech zougänglech waren.
3.1 Falsch konfiguréiert Webserveren
Gemeinsam Mustere sinn ënner anerem:
/logs/Verzeichnisser ouni Authentifikatioun zougänglech- Verzeichnisopzielung aktivéiert
- Nginx oder Apache servéieren rau
.logFichieren
Wann e Log iwwer HTTP erreechbar ass, ass en indexéierbar.
3.2 CI/CD Artefaktbelaaschtung
Typesch Feeler:
- Öffentlech Artefakte aktivéiert an GitHub Aktiounen
- Logbicher, déi an oppen S3 Buckets eropgeluede goufen
- Pipeline Spueren ouni Authentifikatioun zougänglech
A pipeline déi Logbicher an engem ëffentleche Bucket späichert, publizéiert effektiv seng Geheimnisser.
3.3 Debug-Modus an der Produktioun
Framework-Standarden kënne geféierlech sinn:
Zousätzlech kann exzessiv Ufroprotokolléierung folgendes ausdrécken:
- Headeren
- Tokens
- Vollstänneg Ufro-Kierper
Debug-Logging an der Produktioun transforméiert Är Applikatioun an en Exporter vu legitimen Umeldungsinformatiounen.
3.4 Docker- & Containerprotokoller
Containeriséiert Ëmfeld féieren nei Beliichtungsweeër an:
- Logbicher, déi op gemeinsam Volumen montéiert sinn
- Sidecars exportéieren Logbicher op ongeséchert Endpunkten
- Log dashboards mat ëffentlechem Zougang
Wann Container-Logs iwwer HTTP oder Open Storage sichtbar sinn, kënne se duerchsichtbar sinn. Schlussendlech gi se indexéiert.
4. Realisteschen Attackfluss: Vum Dork bis zum Brech
Eng typesch Attackkette gesäit esou aus:
Den Ugräifer leeft:
- Entdeckt Fundstécker
.logFichier - Extraiten:
- JWT-Token
- Basis Autorisatiounsheader
- Datebankverbindungsstring
Versich fir Authentifikatioun géint:
- API-Endpunkten
- Admin-Paneele
- Intern Servicer
Wann d'Authentifikatioun erfollegräich ass, kann den Ugräifer:
- Privilegien eskaléieren
- Säitlech beweegen
- Zougang CI/CD
- D'Liwwerketten kompromittéieren
Wat als Sichufro ugefaangen huet, gëtt elo:
- Sessioun Entféierung
- Intern Umeldungsinformatiounen
- Pipeline iwwerhuelen
- Artefaktvergëftung
Alles aus enger ëffentlech indexéierter Logdatei.
5. Firwat "ze vill" Logging en AppSec Problem ass
Logging ass net neutral. Amplaz erstellt se eng sekundär Datenspeicher.
Wann Dir sensibel Donnéeën protokolléiert, erstellt Dir effektiv eng zweet Kopie vun Äre Geheimnisser.
Allerdéngs ginn d'Logbicher dacks aus der Bedrohungsmodelléierung ausgeschloss. Ënner STRIDE gëtt dat kloer op folgend Punkte zougeschriwwen:
Informatioun Verëffentlechung
Dofir, sécher SDLC Praktiken solle Protokoller behandelen wéi:
- Sécherheetsrelevant Artefakte
- Sensibel Verméigen
- Infrastrukturkomponenten, déi Schutz brauchen
Wann Äert Bedrohungsmodell d'Logbicher ignoréiert, ass et onvollstänneg.
6. Wéi ee Verspéidung vun Umeldungsinformatiounen a Logdateien verhënnert
6.1 Stoppt d'Logging vu Geheimnisser
Ni protokolléieren:
- Passwuert vergiess
- Tokens
- API Schlësselen
- Sessiouns-IDen
- Autorisatiounsheader
Och am Debug-Modus.
Wann ëmmer méiglech, implementéiert automatesch Redaktioun.
6.2 Strukturéiert & sécher Logging
Benotzt strukturéiert Logging mat Maskéierung a Filterung.
Beispill (Node.js):
Beispill (Python):
De Schlësselprinzip ass einfach: Geheimnisser däerfen ni an de Holzkummer kommen.
6.3 Logspäicherung spären
Sécherheetskontrollen sollten enthalen:
- Verzeichnisopzielung deaktivéieren
- schützen
/logs/Weeër mat Authentifikatioun - Zougang zum Bucket limitéieren
- Späicherungsrichtlinne uwenden
- Verschlësselung vu Logbicher am Rou
Logbicher däerfen ni ëffentlech iwwer HTTP zougänglech sinn.
6.4 CI/CD Guardrails
Manuell Iwwerpréiwunge sinn net genuch. Implementéiert amplaz automatiséiert Kontrollen:
- Geheim Scannen vu Logbicher virun der Verëffentlechung vun Artefakten
- Feeler beim Build wann Tokens entdeckt ginn
- Verhënnert datt Artefakt-Uploads mat Umeldungsinformatiounen
- Hash-Validatioun fir Artefakte
CI/CD soll d'Expositioun blockéieren, ier d'Indexéierung stattfënnt.
7. Wéi Xygeni All-in-Text verhënnert:login Dateityp: Log Incidenter
De Problem ass net den Google-Narr. De Problem ass d'Expositioun. Dofir muss Präventioun virum Indexéiere geschéien.
7.1 Geheimdetektioun a Logbicher an Artefakten
Xygeni-Scanne:
- Applikatioun Logbicher
- CI/CD Aarbechtsspuren
- Artefakte bauen
- Docker-Schichten
- Serialiséiert Ausgaben
Wann Umeldungsinformatiounen, Tokens oder sensibel Wäerter erschéngen .log Dateien, markéiert Xygeni se direkt.
7.2 CI/CD Guardrails Déi Blockbeliichtung
Amplaz sech op manuell Bewäertungen ze verloossen, Xygeni garantéiert d'Sécherheet um pipeline Niveau:
Dëst:
- Feeler beim Build wann Geheimnisser a Logbicher erschéngen
- Blockéiert Artefaktpublikatioun
- Verhënnert zoufälleg ëffentlech Belaaschtung
- Stoppt onsécher Fusiounen ier se den Haaptberäich erreechen
Wann e CI-Job en Token dréckt, da gëtt den pipeline feelt.
Keng Indexéierung.
Keng Belaaschtung.
Kee Virfall.
7.3 Shift-Lénks Schutz ier Google et gesäit
Timing spillt eng Roll.
Amplaz drop ze reagéieren:
Xygeni stoppt de Problem:
- At commit Zäit
- während pull request publizéieren
- während pipeline Ausféierung
- Virun der Publikatioun vum Artefakt
Wann de Log ni ëffentlech gëtt, indexéiert Google en ni.
Schlussendlech Konklusioun: Wann Google et indexéiere kann, hunn d'Attacker et scho gemaach
Logdateien sinn net harmlos. Tatsächlech si se selten temporär. Standardméisseg si se net privat. Dofir soll all Logdatei als e Sécherheetsrelevant Verméigen behandelt ginn, net nëmmen als Debugging-Output.
Wann sensibel Donnéeën un en .log Datei a gëtt ëffentlech zougänglech, et gëtt direkt zu enger Attackfläche. Ausserdeem, wann e vun enger Sichmaschinn indexéiert ass, geet d'Expositioun iwwer Är Kontroll eraus.
D'Léisung ass net, d'Protokolléierung opzehalen. Villméi geet et drëm, verantwortungsvoll ze protokolléieren a strikt Kontrollen iwwer d'Späicherung an d'Verdeelung duerchzesetzen. An anere Wierder, d'Sécherheet muss iwwer d'Applikatioun selwer erausgoen an an d'Observabilitéitsschicht eragoen.
Amplaz:
- Stoppt d'Logging vu Geheimnisser
- Logspäicherung spären
- Duerchsetzen pipeline guardrails
- Automatiséiert Detektioun an Ëmsetzung vu Politiken
schlussendlech, Präventioun geet ëm Timing. Well eemol allintext:login Dateityp: Log Är Domain zréckgëtt, huet den Tëschefall schonn ugefaangen.
