سرچ انجن انڈیکس مواد کے لیے بنائے گئے تھے۔ تاہم، حملہ آور آپ کی غلطیوں کو انڈیکس کرنے کے لیے استعمال کرتے ہیں۔ استفسار تمام متن:login فائل کی قسم: لاگ بے ضرر لگ سکتا ہے. حقیقت میں، یہ توثیق کے بہاؤ، اسناد، ٹوکنز، اور اندرونی انفراسٹرکچر ڈیٹا پر مشتمل بے نقاب لاگ فائلوں کو دریافت کرنے کا ایک آسان ترین طریقہ ہے۔
اگر گوگل ان لاگز کو دیکھ سکتا ہے تو حملہ آور بھی دیکھ سکتے ہیں۔ ایک بار انڈیکس ہونے کے بعد، نمائش ناگزیر ہو جاتی ہے۔ مزید برآں، جب اسناد عوامی طور پر قابل رسائی فائل میں ظاہر ہوتی ہیں، تو خلاف ورزی پہلے سے ہی حرکت میں آتی ہے۔
1. کیوں allintext:login filetype:log نظر آنے سے زیادہ خطرناک ہے۔
گوگل ڈورک ایک سرچ استفسار ہے جو تلاش کے انجنوں کے ذریعہ ترتیب کردہ حساس یا غلط کنفیگر کردہ مواد کو تلاش کرنے کے لیے جدید آپریٹرز کا استعمال کرتا ہے۔ یہ گوگل کا استحصال نہیں کرتا ہے۔ اس کے بجائے، یہ آپ کی نمائش کا استحصال کرتا ہے۔
یہ استفسار دو آپریٹرز کو یکجا کرتا ہے:
- تمام متن: وہ صفحات واپس کرتا ہے جہاں تمام اصطلاحات باڈی ٹیکسٹ میں ظاہر ہوتی ہیں۔
- فائل کی قسم: لاگ نتائج کو محدود کرتا ہے۔
.logفائلوں
لہذا:
مطلب: "مجھے لاگ فائلیں دکھائیں جن میں لفظ موجود ہے۔ login".
پہلی نظر میں، یہ معمولی لگتا ہے. تاہم، عملی طور پر، یہ اکثر واپس آتا ہے:
- عوامی طور پر بے نقاب ویب سرور لاگز
- CI/CD نوشتہ جات کے بطور اپ لوڈ کردہ نوشتہ جات
- ڈیبگ لاگز غلطی سے commitذخیروں کو ted
- سادہ متن کی اسناد کے ساتھ ایپلیکیشن لاگز
یہ سرچ انجن کا بگ نہیں ہے۔ اس کے بجائے، یہ ایک ہے ڈیٹا کی نمائش کا خطرہ غلط کنفیگریشن کی وجہ سے۔ گوگل نے آسانی سے انڈیکس کیا جو عوامی طور پر قابل رسائی تھا۔
2. کیا حملہ آور اصل میں بے نقاب لاگ فائلوں میں تلاش کرتے ہیں۔
جب حملہ آور بھاگتے ہیں۔ تمام متن:login فائل کی قسم: لاگ، وہ تصادفی طور پر براؤز نہیں کر رہے ہیں۔ وہ توثیق کے نشانات تلاش کر رہے ہیں۔
2.1 سادہ متن کی اسناد
لاگز میں اکثر اندراجات ہوتے ہیں جیسے:
or
یا یہاں تک کہ SMTP اسناد:
لاگنگ توثیق پے لوڈز پروڈکشن اسناد کو لیک کرنے کے تیز ترین طریقوں میں سے ایک ہے۔ نتیجتاً، ایک بے نقاب لاگ فائل آپ کے پورے ایکسیس کنٹرول ماڈل کو باطل کر سکتی ہے۔
2.2 سیشن ٹوکن اور JWTs
یہاں تک کہ جب پاس ورڈ لاگ ان نہیں ہوتے ہیں، ٹوکن اکثر ہوتے ہیں۔
مثال کے طور پر:
اے کے اندر ایک درست JWT یا سیشن کوکی .log فائل کو فعال کر سکتا ہے:
- سیشن ہائی جیکنگ
- استحقاق میں اضافہ
- اندرونی نظاموں میں پس منظر کی حرکت
دوسرے لفظوں میں، لاگز میں موجود ٹوکن ڈیبگنگ آؤٹ پٹ کو ایک توثیق بائی پاس ویکٹر میں بدل دیتے ہیں۔
2.3 CI/CD Artifacts
لاگ لاگز خاص طور پر خطرناک ہیں۔ درحقیقت، CI/CD نظام اکثر تعمیراتی مراحل کے دوران ماحولیاتی متغیرات کو پرنٹ کرتے ہیں۔
حملہ آور اکثر دریافت کرتے ہیں:
لائنوں پر مشتمل ہے جیسے:
If CI/CD نمونے عوامی ہیں، پھر راز عوامی ہیں۔ گوگل ڈورک آسانی سے دریافت کو تیز کرتا ہے۔
2.4 کلاؤڈ اور انفراسٹرکچر ڈیٹا
بے نقاب لاگز اکثر ظاہر کرتے ہیں:
- AWS رسائی کی چابیاں
- Azure اسٹوریج کنکشن کے تار
- داخلی خدمت کے URLs
- ڈیٹا بیس کی اسناد
- ریڈیس اینڈ پوائنٹس
یہاں تک کہ اگر اسناد کو بعد میں گھمایا جاتا ہے، حملہ آور کے پاس اب ہے:
- انفراسٹرکچر میپنگ
- کنونشن کا نام لینا
- مستقبل کے حملوں کے لیے ٹارگٹ انٹیلی جنس
لہذا، بے نقاب نوشتہ رسائی اور جاسوسی دونوں فراہم کرتا ہے۔
3. یہ لاگ پہلی جگہ پر کیسے عوامی بن جاتے ہیں۔
لاگز جادوئی طور پر گوگل میں ظاہر نہیں ہوتے ہیں۔ وہ انڈیکس ہو جاتے ہیں کیونکہ وہ عوامی طور پر قابل رسائی تھے۔
3.1 غلط کنفیگر کردہ ویب سرورز
عام پیٹرن میں شامل ہیں:
/logs/بغیر تصدیق کے قابل رسائی ڈائریکٹریز- ڈائرکٹری لسٹنگ فعال ہے۔
- Nginx یا Apache خام خدمت کر رہے ہیں۔
.logفائلوں
اگر HTTP پر لاگ قابل رسائی ہے، تو یہ قابل اشاریہ ہے۔
3.2 CI/CD آرٹفیکٹ کی نمائش
عام غلطیاں:
- میں عوامی نمونے فعال ہیں۔ گٹ ہب ایکشنز۔
- S3 بالٹیاں کھولنے کے لیے لاگز اپ لوڈ کیے گئے۔
- Pipeline بغیر تصدیق کے قابل رسائی نشانات
A pipeline جو لاگ ان کو عوامی بالٹی میں محفوظ کرتا ہے مؤثر طریقے سے اس کے راز کو شائع کرتا ہے۔
3.3 پیداوار میں ڈیبگ موڈ
فریم ورک ڈیفالٹس خطرناک ہو سکتے ہیں:
مزید برآں، ضرورت سے زیادہ درخواست لاگنگ پرنٹ کر سکتی ہے:
- ہیڈر
- ٹوکن
- مکمل درخواست کی لاشیں
پروڈکشن میں ڈیبگ لاگنگ آپ کی درخواست کو ایک کریڈینشل ایکسپورٹر میں تبدیل کر دیتی ہے۔
3.4 ڈوکر اور کنٹینر لاگز
کنٹینرائزڈ ماحول نئے نمائش کے راستے متعارف کراتے ہیں:
- لاگز مشترکہ حجم میں نصب ہیں۔
- سائیڈ کار غیر محفوظ اختتامی مقامات پر لاگز برآمد کر رہے ہیں۔
- لاگ ان کریں dashboards عوامی رسائی کے ساتھ
اگر کنٹینر لاگز HTTP یا اوپن اسٹوریج کے ذریعے سامنے آتے ہیں، تو وہ تلاش کے قابل ہیں۔ آخر کار، وہ انڈیکس کیے جاتے ہیں۔
4. حقیقت پسندانہ حملے کا بہاؤ: ڈورک سے خلاف ورزی تک
ایک عام حملے کا سلسلہ اس طرح لگتا ہے:
حملہ آور دوڑتا ہے:
- بے نقاب پاتا ہے۔
.logسنچکا - نچوڑ:
- JWT ٹوکن
- بنیادی Auth ہیڈر
- ڈیٹا بیس کنکشن سٹرنگ
کے خلاف توثیق کی کوششیں:
- API اختتامی پوائنٹس
- ایڈمن پینلز
- اندرونی خدمات
اگر توثیق کامیاب ہو جاتی ہے، حملہ آور یہ کر سکتا ہے:
- مراعات میں اضافہ کریں۔
- بعد میں منتقل کریں
- تک رسائی CI/CD
- سپلائی چین سے سمجھوتہ کریں۔
تلاش کے استفسار کے طور پر جو شروع ہوا وہ بن جاتا ہے:
- سیشن ہائی جیکنگ
- داخلی اسناد بھرنا
- Pipeline قبضے
- آرٹفیکٹ زہر
سبھی ایک عوامی طور پر انڈیکس شدہ لاگ فائل سے۔
5. کیوں "بہت زیادہ" لاگ کرنا ایک AppSec مسئلہ ہے۔
لاگنگ غیر جانبدار نہیں ہے۔ اس کے بجائے، یہ ایک تخلیق کرتا ہے ثانوی ڈیٹا اسٹور.
اگر آپ حساس ڈیٹا کو لاگ کرتے ہیں، تو آپ مؤثر طریقے سے اپنے راز کی دوسری کاپی بناتے ہیں۔
تاہم، لاگز کو اکثر دھمکیوں کی ماڈلنگ سے خارج کر دیا جاتا ہے۔ STRIDE کے تحت، یہ واضح طور پر نقشہ بناتا ہے:
معلومات کا انکشاف
لہذا، محفوظ SDLC پریکٹس کو نوشتہ جات کو اس طرح برتا جانا چاہئے:
- سیکورٹی سے متعلقہ نمونے
- حساس اثاثے۔
- بنیادی ڈھانچے کے اجزاء جنہیں تحفظ کی ضرورت ہوتی ہے۔
اگر آپ کا خطرہ ماڈل لاگز کو نظر انداز کرتا ہے، تو یہ نامکمل ہے۔
6. لاگ فائلوں میں اسناد کے رساو کو کیسے روکا جائے۔
6.1 لاگنگ کے راز کو روکیں۔
کبھی لاگ نہ کریں:
- پاس ورڈز
- ٹوکن
- API کیز
- سیشن IDs
- اجازت دینے والے ہیڈرز
یہاں تک کہ ڈیبگ موڈ میں۔
جب بھی ممکن ہو، خودکار ریڈیکشن کو لاگو کریں۔
6.2 سٹرکچرڈ اور سیف لاگنگ
ماسکنگ اور فلٹرنگ کے ساتھ سٹرکچرڈ لاگنگ کا استعمال کریں۔
مثال (Node.js):
مثال (Python):
کلیدی اصول آسان ہے: راز کبھی بھی لاگ سنک تک نہیں پہنچنا چاہیے۔
6.3 لاک ڈاؤن لاگ اسٹوریج
سیکورٹی کنٹرول میں شامل ہونا چاہئے:
- ڈائریکٹری لسٹنگ کو غیر فعال کریں۔
- حفاظت
/logs/تصدیق کے ساتھ راستے - بالٹی تک رسائی کو محدود کریں۔
- برقرار رکھنے کی پالیسیاں لاگو کریں۔
- باقی میں لاگ ان کو خفیہ کریں۔
لاگز کو کبھی بھی HTTP کے ذریعے عوامی طور پر قابل رسائی نہیں ہونا چاہیے۔
6.4 CI/CD Guardrails
دستی جائزے ناکافی ہیں۔ اس کے بجائے، خودکار کنٹرولز کو لاگو کریں:
- آرٹفیکٹ کی اشاعت سے پہلے لاگز کی خفیہ اسکیننگ
- اگر ٹوکنز کا پتہ چلا تو فیل بن جاتا ہے۔
- اسناد پر مشتمل آرٹفیکٹ اپ لوڈز کو روکیں۔
- نمونے کے لیے ہیش کی توثیق
CI/CD انڈیکس ہونے سے پہلے نمائش کو روکنا چاہیے۔
7. Xygeni allintext کو کیسے روکتا ہے:login فائل کی قسم: لاگ ان واقعات
مسئلہ گوگل کا نہیں ہے۔ مسئلہ نمائش کا ہے۔ لہذا، انڈیکسنگ سے پہلے روک تھام ضروری ہے.
7.1 نوشتہ جات اور نمونے میں خفیہ کھوج
Xygeni اسکین:
- ایپلیکیشن لاگز
- CI/CD ملازمت کے نشانات
- نمونے بنائیں
- ڈوکر پرتیں۔
- سیریلائزڈ آؤٹ پٹس
اگر اسناد، ٹوکن، یا حساس قدریں ظاہر ہوتی ہیں۔ .log فائلیں، Xygeni انہیں فوری طور پر جھنڈا لگاتا ہے۔
7.2 CI/CD Guardrails وہ بلاک نمائش
دستی جائزوں پر انحصار کرنے کے بجائے، Xygeni پر سیکیورٹی نافذ کرتا ہے۔ pipeline سطح:
یہ:
- لاگز میں راز ظاہر ہونے پر ناکام ہو جاتا ہے۔
- آرٹفیکٹ کی اشاعت کو روکتا ہے۔
- حادثاتی عوامی نمائش کو روکتا ہے۔
- مین تک پہنچنے سے پہلے غیر محفوظ انضمام کو روکتا ہے۔
اگر CI جاب ٹوکن پرنٹ کرتا ہے، pipeline ناکام ہوجاتا ہے۔
کوئی اشاریہ سازی نہیں۔
کوئی نمائش نہیں۔
کوئی واقعہ نہیں۔
7.3 شفٹ-بائیں تحفظ اس سے پہلے کہ گوگل اسے دیکھے۔
ٹائمنگ اہمیت رکھتی ہے۔
جواب دینے کے بجائے:
Xygeni مسئلہ کو روکتا ہے:
- At commit وقت
- کے دوران pull request توثیق
- کے دوران pipeline پھانسی
- نمونے کی اشاعت سے پہلے
اگر لاگ کبھی عوامی نہیں ہوتا ہے، تو گوگل اسے کبھی بھی انڈیکس نہیں کرتا ہے۔
فائنل ٹیک وے: اگر گوگل اسے انڈیکس کر سکتا ہے، حملہ آوروں نے پہلے ہی کر دیا تھا۔
نوشتہ جات بے ضرر نہیں ہیں۔ درحقیقت، وہ شاذ و نادر ہی عارضی ہوتے ہیں۔ پہلے سے طے شدہ طور پر، وہ نجی نہیں ہیں۔ لہذا، ہر لاگ فائل کو سیکیورٹی سے متعلقہ اثاثہ سمجھا جانا چاہئے، نہ کہ صرف ڈیبگنگ آؤٹ پٹ۔
اگر حساس ڈیٹا a تک پہنچ جاتا ہے۔ .log فائل اور عوامی طور پر قابل رسائی ہو جاتا ہے، یہ فوری طور پر حملے کی سطح میں بدل جاتا ہے۔ مزید برآں، ایک بار سرچ انجن کی طرف سے انڈیکس کرنے کے بعد، نمائش آپ کے قابو سے باہر ہو جاتی ہے۔
اس کا حل لاگنگ کو روکنا نہیں ہے۔ بلکہ، ذمہ داری سے لاگ ان کرنا اور اسٹوریج اور ڈسٹری بیوشن کے ارد گرد سخت کنٹرول نافذ کرنا ہے۔ دوسرے لفظوں میں، سیکورٹی کو خود ایپلیکیشن سے آگے اور مشاہداتی پرت تک بڑھانا چاہیے۔
اس کے بجائے:
- رازوں کو لاگ کرنا بند کریں۔
- لاگ سٹوریج کو لاک ڈاؤن کریں۔
- نافذ pipeline guardrails
- خودکار پتہ لگانے اور پالیسی کا نفاذ
آخر میں, روک تھام وقت کے بارے میں ہے. کیونکہ ایک بار تمام متن:login فائل کی قسم: لاگ آپ کا ڈومین واپس کرتا ہے، واقعہ پہلے ہی شروع ہو چکا ہے۔
