स्रोत कोड को केवल fumbling करके लाइव सिस्टम तक पहुंच कैसे खोना है

वास्तविक जीवन के उदाहरणों के साथ सुरक्षा हमेशा अधिक दिलचस्प होती है।

एक बार एक ग्राहक पैठ परीक्षण के अनुरोध के साथ आया। दूसरों के बीच चिंता का उनके पास कुछ कारण थे, एक सुना था: "कुछ महीने पहले एक नया डेवलपर हमारे पास आया, दो दिन बाद स्रोत कोड, प्रलेखन, एक परीक्षण सर्वर तक पहुंच गया, और अभी भी कोई जवाब नहीं आया। यह मुझे कैसे धमकी दे सकता है? लाइव सिस्टम का एक्सेस उसे नहीं दिया गया था। ”

हम डेवलपर्स की गलतियों के बारे में बात नहीं करेंगे, जो लाइव सिस्टम में गंभीर छेद बन सकते हैं। सब कुछ बहुत सरल है - स्रोत कोड में सीधे निर्देश और पहुंच हो सकती है।

सुरक्षा के लिए हमने जिन विभिन्न परियोजनाओं का परीक्षण किया, उनमें से मैं वास्तविक उदाहरण दूंगा, जहां केवल स्रोत कोड के साथ, हम सिस्टम में ही प्रवेश कर सकते हैं। इन सभी समस्या क्षेत्रों को ठीक कर दिया गया है, और स्क्रीनशॉट में कोई भी अतिरिक्त जानकारी छिपी हुई है।

प्रणाली 1।
गीता से क्लोन कोड न केवल नवीनतम संस्करण है, बल्कि सभी परिवर्तनों का इतिहास भी है। हम आमतौर पर gittyleaks का उपयोग करके संवेदनशील जानकारी के लिए स्रोत कोड चलाते हैं ।

इस परियोजना में, हमें एक निजी एन्क्रिप्शन कुंजी मिली जिसे एक बार कोड से हटा दिया गया था, लेकिन इसका उपयोग अभी भी लाइव सिस्टम में किया गया था। इस कुंजी का उपयोग प्रमाणीकरण के लिए किया गया था, और तंत्र को जानने के बाद, हम व्यवस्थापक सहित किसी भी उपयोगकर्ता के लिए कोई भी प्रमाणीकरण कुकी उत्पन्न कर सकते हैं।


चित्र 1. आउटपुट: gittyleaks --find- कुछ भी


प्रणाली 2।
आप गिट उपयोगिता का उपयोग कर सकते हैं और इसे सभी नष्ट की गई फ़ाइलों को दिखाने के लिए कह सकते हैं। इस प्रणाली में, हमें एक निष्पादक। Pem फ़ाइल मिली, जो प्रोजेक्ट के रूट में हुआ करती थी और SSH चैनल के माध्यम से सर्वर पर प्रोजेक्ट को स्वचालित रूप से वितरित करने के लिए उपयोग की जाती थी। लाइव सिस्टम में SSH पोर्ट खोला गया है। यह क्यों खुला है? डेवलपर्स ने जवाब दिया कि उनकी निर्माण मशीन एक गतिशील आईपी पते के पीछे बैठी थी, और उन्होंने बंदरगाह को बंद नहीं करने का फैसला किया - "वैसे भी, कोई भी एसएसएच कुंजी नहीं उठाएगा"। जी-जी ...


चित्र 2. आउटपुट: गिट लॉग - डिफ-फिल्टर = डी - शुमरी

प्रणाली 3।
इस प्रणाली के साथ, सब कुछ और भी आसान था। डेटाबेस की लिपियों में जाना और उपयोगकर्ताओं को डिफ़ॉल्ट रूप से कैसे बनाया जाता है, यह देखना सार्थक हो सकता है। आमतौर पर, उच्चतम अनुमतियों के साथ एक व्यवस्थापक बनाने वाला पहला उपयोगकर्ता। लिपियों में, हमने एक कोड पाया जो वास्तविक पासवर्ड से एक हैश उत्पन्न करता है और इसे डेटाबेस में लिखा है। हैरानी की बात है, 5 उपयोगकर्ता बनाए गए थे, लेकिन सबसे महत्वपूर्ण व्यवस्थापक के लिए पासवर्ड, हमारे विस्मय के लिए, लाइव सिस्टम के माध्यम से चला गया। और यह कोड पहला वर्ष नहीं है, वैसे, और एक व्यक्ति ने इसके साथ काम नहीं किया है।


चित्र 3. डेटाबेस स्क्रिप्ट में वास्तविक पासवर्ड कैसे खोजें

वादा।

1. यदि आपका प्रोजेक्ट गीता पर है, तो इसे खोलें और रूट फ़ोल्डर से कुछ कमांड चलाएं:

पाइप स्थापित gittyleaks
gittyleaks - कुछ भी

git log --diff-filter = D --summary

2. एक सुनहरा नियम। एक लाइव सिस्टम में हमेशा अद्वितीय कुंजी, अद्वितीय उपयोगकर्ता पासवर्ड होना चाहिए, और इसमें सब कुछ अधिकतम के लिए बंद होना चाहिए।

उपरोक्त जानकारी केवल शैक्षिक और शैक्षिक उद्देश्यों के लिए प्रदान की जाती है, कि उनके सिस्टम को कैसे करना आवश्यक नहीं है।

डेनिस कोल्शको