Системаҳои ҷустуҷӯӣ барои индексатсияи мундариҷа сохта шудаанд. Аммо, ҳамлагарон онҳоро барои индексатсияи хатогиҳои шумо истифода мебаранд. матни матн:login навъи файл:log метавонад безарар ба назар расад. Дар асл, ин яке аз роҳҳои соддатарини ошкор кардани файлҳои сабти фошшуда мебошад, ки дорои ҷараёнҳои аутентификатсия, эътимодномаҳо, токенҳо ва маълумоти дохилии инфрасохтор мебошанд.
Агар Google ин гузоришҳоро дида тавонад, ҳамлагарон низ метавонанд. Пас аз индексатсия, фошшавӣ ногузир мешавад. Ғайр аз ин, вақте ки эътимодномаҳо дар файли дастраси омма пайдо мешаванд, вайронкунӣ аллакай дар амал аст.
1. Чаро allintext:login filetype:log аз он ки ба назар мерасад, хатарноктар аст
Дархости Google як дархости ҷустуҷӯӣ аст, ки аз операторҳои пешрафта барои ёфтани мундариҷаи ҳассос ё нодуруст танзимшуда, ки аз ҷониби системаҳои ҷустуҷӯ индексатсия шудаанд, истифода мебарад. Он аз Google истифода намебарад. Баръакс, он аз таъсири шумо истифода мебарад.
Ин дархост ду операторро муттаҳид мекунад:
- матни матн: саҳифаҳоеро бармегардонад, ки дар онҳо ҳамаи истилоҳот дар матни асосӣ пайдо мешаванд
- навъи файл:log натиҷаҳоро маҳдуд мекунад
.logфайлҳои
Аз ин рӯ,
Маънои он: "Файлҳои сабти рӯйдодҳоро, ки калимаро дар бар мегиранд, ба ман нишон диҳед login. "
Дар назари аввал, ин ночиз ба назар мерасад. Аммо, дар амал, он аксар вақт бармегардад:
- Сабтҳои сервери веб, ки ба таври оммавӣ нашр шудаанд
- CI/CD гузоришҳо ҳамчун артефактҳо боргузорӣ шудаанд
- Хатогиҳои хато тасодуфан сабт мешаванд commitба анборҳо фиристода шудааст
- Сабтҳои барнома бо эътимодномаҳои матни оддӣ
Ин хатои системаи ҷустуҷӯӣ нест. Баръакс, ин як аст осебпазирии ошкоршавии маълумот аз сабаби нодуруст танзимкунӣ ба вуҷуд омадааст. Google танҳо он чизеро, ки дастраси омма буд, индексатсия кард.
2. Он чизеро, ки ҳамлагарон дар файлҳои сабти фошшуда пайдо мекунанд
Вақте ки ҳамлагарон гурехтанд матни матн:login навъи файл:log, онҳо тасодуфан сайр намекунанд. Онҳо дар ҷустуҷӯи нишонаҳои аутентификатсия ҳастанд.
2.1 Эътимодномаҳои матни оддӣ
Сабтҳо аксар вақт сабтҳоеро дар бар мегиранд, ба монанди:
or
Ё ҳатто эътимодномаҳои SMTP:
Боркунии аутентификатсияи сабт яке аз роҳҳои зудтарини фош кардани эътимодномаҳои истеҳсолӣ мебошад. Дар натиҷа, як файли сабти фошшуда метавонад тамоми модели назорати дастрасии шуморо беэътибор кунад.
2.2 Токенҳои сессия ва JWT-ҳо
Ҳатто вақте ки паролҳо сабт нашудаанд, токенҳо аксар вақт сабт мешаванд.
Барои намуна:
Кукии JWT ё сеанси дуруст дар дохили .log файл метавонад имкон диҳад:
- Гирифтани сессия
- Афзоиши имтиёз
- Ҳаракати паҳлӯӣ дар системаҳои дохилӣ
Ба ибораи дигар, токенҳо дар гузоришҳо натиҷаи ислоҳи хатогиро ба вектори гузариши аутентификатсия табдил медиҳанд.
2.3 CI/CD Осори
Чӯбҳои сохтмонӣ махсусан хатарноканд. Дар асл, CI/CD системаҳо аксар вақт тағирёбандаҳои муҳити зистро ҳангоми марҳилаҳои сохтан чоп мекунанд.
Ҳамлагарон аксар вақт ошкор мекунанд:
Сатрҳоеро дар бар мегирад, ба монанди:
If CI/CD пас асарҳо оммавӣ ҳастанд, пас асрорҳо оммавӣ мебошанд. Дурӯғи Google танҳо кашфиётро суръат мебахшад.
2.4 Маълумоти абрӣ ва инфрасохтор
Сабтҳои фошшуда аксар вақт инҳоро нишон медиҳанд:
- Калидҳои дастрасии AWS
- Сатрҳои пайвастшавии нигоҳдории Azure
- URL-ҳои хидматрасонии дохилӣ
- Маълумоти махзани маълумот
- Нуқтаҳои ниҳоии Redis
Ҳатто агар эътимодномаҳо дертар иваз карда шаванд ҳам, ҳамлагар ҳоло дорои инҳост:
- Харитасозии инфрасохтор
- Конвенсияҳои номгузорӣ
- Иттилооти мақсаднок барои ҳамлаҳои оянда
Аз ин рӯ, чӯбҳои кушода ҳам дастрасӣ ва ҳам кашфиётро таъмин мекунанд.
3. Чӣ тавр ин сабтҳо дар ҷои аввал оммавӣ мешаванд
Гузоришҳо дар Google ба таври ҷодуӣ пайдо намешаванд. Онҳо индексатсия карда мешаванд, зеро онҳо дастраси омма буданд.
3.1 Серверҳои веби нодуруст танзимшуда
Нақшҳои маъмул инҳоянд:
/logs/феҳристҳо бидуни тасдиқ дастрасанд- Рӯйхати феҳрист фаъол аст
- Nginx ё Apache хом хизмат мерасонанд
.logфайлҳои
Агар ба гузориш тавассути HTTP дастрасӣ пайдо шавад, он индексатсияшаванда аст.
3.2 CI/CD Таъсири артефакт
Хатогиҳои маъмулӣ:
- Артефактҳои оммавӣ фаъол шуданд Амалҳои GitHub
- Гузоришҳо ба сатилҳои кушодаи S3 бор карда шуданд
- Pipeline пайгирӣ бидуни тасдиқ дастрас аст
A pipeline ки гузоришҳоро дар сатили оммавӣ нигоҳ медорад, асрори худро самаранок нашр мекунад.
3.3 Ҳолати ислоҳи хатогиҳо дар истеҳсолот
Танзимоти пешфарзии чаҳорчӯба метавонанд хатарнок бошанд:
Илова бар ин, сабти аз ҳад зиёди дархостҳо метавонад чоп кунад:
- сарлавҳаҳои
- Чандрасонаӣ
- Мақомоти пурраи дархостҳо
Сабти хатогиҳо дар истеҳсолот барномаи шуморо ба содиркунандаи маълумоти эътимоднома табдил медиҳад.
3.4 Гузоришҳои Docker ва Container
Муҳитҳои контейнерӣ роҳҳои нави таъсиррасониро муаррифӣ мекунанд:
- Гузоришҳо дар ҳаҷмҳои муштарак насб карда шудаанд
- Содироти чӯбҳои паҳлӯӣ ба нуқтаҳои ниҳоии ноамн
- Журнал dashboardбо дастрасии оммавӣ
Агар гузоришҳои контейнер тавассути HTTP ё анбори кушода фош карда шаванд, онҳоро ҷустуҷӯ кардан мумкин аст. Дар ниҳоят, онҳо индексатсия карда мешаванд.
4. Ҷараёни воқеии ҳамла: Аз Дорк то шикастан
Як занҷири маъмулии ҳамла чунин ба назар мерасад:
Ҳамлагар давида меравад:
- Ёфтҳои ошкоршуда
.logфайл - Иқтибосҳо:
- Токени JWT
- Сарлавҳаи тасдиқи асосӣ
- Сатри пайвасти пойгоҳи додаҳо
Кӯшишҳои тасдиқкунӣ бар зидди:
- Нуқтаҳои ниҳоии API
- панелҳои маъмурӣ
- Хизматрасониҳои дохилӣ
Агар аутентификатсия муваффақ бошад, ҳамлагар метавонад:
- Имтиёзҳоро афзоиш диҳед
- Ба паҳлӯ ҳаракат кунед
- Дастрасӣ CI/CD
- Хатар кардани занҷираи таъминот
Он чизе, ки ҳамчун дархости ҷустуҷӯ оғоз шуд, чунин мешавад:
- Гирифтани сессия
- Пур кардани эътимодномаи дохилӣ
- Pipeline ҳамроҳкунӣ
- Заҳролудшавӣ аз артефакт
Ҳама аз файли сабти оммавӣ индексатсияшуда.
5. Чаро сабти "аз ҳад зиёд" мушкили AppSec аст
Сабткунӣ бетараф нест. Баръакс, он эҷод мекунад анбори маълумоти дуюмдараҷа.
Агар шумо маълумоти махфиро сабт кунед, шумо нусхаи дуюми асрори худро эҷод мекунед.
Аммо, гузоришҳо аксар вақт аз моделсозии таҳдидҳо хориҷ карда мешаванд. Дар зери STRIDE, ин ба таври возеҳ ба инҳо алоқаманд аст:
Ифшои иттилоот
Аз ин рӯ, бехатар SDLC таҷрибаҳо бояд гузоришҳоро чунин баррасӣ кунанд:
- Артефактҳои марбут ба амният
- Дороиҳои ҳассос
- Ҷузъҳои инфрасохтор, ки ба ҳимоя ниёз доранд
Агар модели таҳдиди шумо гузоришҳоро нодида гирад, он нопурра аст.
6. Чӣ тавр аз ихроҷи маълумоти эътимоднома дар файлҳои сабт пешгирӣ кардан мумкин аст
6.1 Асрори қатъ кардани сабти ном
Ҳеҷ гоҳ сабти ном накунед:
- Рамзҳо
- Чандрасонаӣ
- калидҳои API
- ID-ҳои ҷаласа
- Сарлавҳаҳои иҷозатнома
Ҳатто дар ҳолати ислоҳи хатогиҳо.
Ҳар вақте ки имконпазир бошад, таҳрири автоматиро истифода баред.
6.2 Сабти сохторӣ ва бехатар
Сабти сабти сохторӣ бо ниқобкунӣ ва филтркунӣ истифода баред.
Мисол (Node.js):
Мисол (Python):
Принсипи асосӣ оддӣ аст: асрор ҳеҷ гоҳ набояд ба рафи чӯб бирасад.
6.3 Анбори сабтҳои махфӣ
Назорати амниятӣ бояд инҳоро дар бар гирад:
- Рӯйхати феҳристро ғайрифаъол кунед
- муҳофизат
/logs/роҳҳо бо аутентификатсия - Маҳдуд кардани дастрасӣ ба қуттӣ
- Сиёсатҳои нигоҳдориро татбиқ кунед
- Рамзгузории гузоришҳо дар ҳолати истироҳат
Гузоришҳо ҳеҷ гоҳ набояд тавассути HTTP дастрасии оммавӣ дошта бошанд.
6.4 CI/CD Guardrails
Баррасиҳои дастӣ нокифояанд. Ба ҷои ин, идоракунии автоматиро амалӣ кунед:
- Сканкунии пинҳонии гузоришҳо пеш аз нашри артефакт
- Сохтани нокомӣ дар сурати ошкор шудани токенҳо
- Пешгирӣ кардани боргузории артефактҳо, ки дорои эътимодномаҳо мебошанд
- Тасдиқи ҳэш барои артефактҳо
CI/CD бояд пеш аз рух додани индексатсия экспозицияро масдуд кунад.
7. Чӣ тавр Xygeni аз ҳамаи матнҳо пешгирӣ мекунад:login filetype:log Ҳодисаҳо
Мушкил дар Google нест. Мушкил дар фошшавӣ аст. Аз ин рӯ, пеш аз индексатсия бояд пешгирӣ карда шавад.
7.1 Ошкоркунии махфият дар гузоришҳо ва артефактҳо
Ксигени сканкунӣ:
- Сабти барнома
- CI/CD пайҳои корӣ
- Артефактҳо созед
- Қабатҳои Докер
- Натиҷаҳои силсилавӣ
Агар эътимодномаҳо, токенҳо ё арзишҳои ҳассос пайдо шаванд .log файлҳо, Xygeni онҳоро фавран қайд мекунад.
7.2 CI/CD Guardrails Ин блоки таъсиррасонӣ
Ба ҷои такя ба баррасиҳои дастӣ, Xygeni амниятро дар ... таъмин мекунад pipeline сатҳ:
Ин:
- Нокомиҳо вақте пайдо мешаванд, ки асрорҳо дар гузоришҳо пайдо мешаванд
- Нашри артефактро блок мекунад
- Аз таъсири тасодуфии оммавӣ пешгирӣ мекунад
- Пеш аз расидан ба асосӣ, якҷояшавии ноамнро бозмедорад
Агар кори CI токенро чоп кунад, pipeline кор намекунад.
Индексатсия вуҷуд надорад.
Бе таъсири экспозиция.
Ҳеҷ ҳодисае нашудааст.
7.3 Ҳимояи Shift-Left пеш аз он ки Google онро бубинад
Вақт муҳим аст.
Ба ҷои вокуниш ба:
Xygeni ин масъаларо ҳал мекунад:
- At commit замон
- дар муддати pull request тасдиқ карда мешавад
- дар муддати pipeline иҷрои
- Пеш аз нашри асар
Агар гузориш ҳеҷ гоҳ оммавӣ нашавад, Google онро ҳеҷ гоҳ индексатсия намекунад.
Хулосаи ниҳоӣ: Агар Google онро индексатсия кунад, ҳамлагарон аллакай ин корро кардаанд
Гузоришҳо безарар нестанд. Дар асл, онҳо кам муваққатӣ ҳастанд. Бо нобаёнӣ, онҳо хусусӣ нестанд. Аз ин рӯ, ҳар як файли гузориш бояд ҳамчун дороии марбут ба амният баррасӣ шавад, на танҳо натиҷаи ислоҳи хатогиҳо.
Агар маълумоти ҳассос ба .log файл мешавад ва дастраси умум мегардад, он фавран ба сатҳи ҳамла табдил меёбад. Ғайр аз ин, пас аз индексатсия аз ҷониби системаи ҷустуҷӯ, таъсири он аз назорати шумо берун меравад.
Роҳи ҳал қатъ кардани сабти ном нест. Баръакс, он бояд бомасъулият сабти ном карда шавад ва назорати қатъӣ дар атрофи нигоҳдорӣ ва тақсимот ҷорӣ карда шавад. Ба ибораи дигар, амният бояд аз худи барнома берун рафта, ба сатҳи мушоҳидашавандагӣ низ паҳн шавад.
Ба ҷои ин:
- Сабти номҳои сиррро қатъ кунед
- Қулф кардани нигоҳдории сабтҳо
- Иҷрои pipeline guardrails
- Ошкоркунӣ ва татбиқи сиёсатро автоматӣ кунед
Дар ниҳояти кор, пешгирӣ сари вақт аст. Зеро як бор матни матн:login навъи файл:log домени шуморо бармегардонад, ҳодиса аллакай оғоз шудааст.
