Távolítsa el a titkokat a naplókból és HAR-fájlokból, mielőtt megosztaná őket

– Tudsz küldeni egy HAR-fájlt? egy ésszerű kérés egy támogató mérnöktől, és veszélyes dolog, amelyet meggondolatlanul kell teljesíteni. A HAR-export egy böngészőmunkamenet teljes rögzítése: minden kérés, minden válaszfejléc, minden elküldött cookie, és gyakran a választestek is. Ha egyet szerkesztetlenül ad át, a címzettnek lehetősége nyílik arra, hogy Önként viselkedjen a felvétel bármely webhelyén, mindaddig, amíg a munkamenetek élnek.

Ugyanez vonatkozik kevésbé nyilvánvalóan azokra a naplórészletekre, amelyeket az emberek egész nap jegyekbe, Slack-szálakba és csevegőablakokba illesztenek. Érdemes rutint tartani.

Mi van valójában egy HAR fájlban

A HAR a JSON, és tervezésénél fogva kimerítő. Egy normál exportban a következőket találja:

• Munkamenet cookie-k minden érintett domainre, teljes egészében, elküldéskor. Ez a legnagyobb – a munkamenet-cookie egy hordozó hitelesítő adat, és a címzettnek nincs szüksége az Ön jelszavára a használatához.
• Authorization fejlécek, beleértve a hordozó tokeneket és az alapvető hitelesítési adatokat, amelyek triviálisan dekódolhatók.
• Tokenek a lekérdezési karakterláncokban. Jelszó-visszaállítási hivatkozások, aláírt URL-ek, paraméterként átadott API-kulcsok, folyamat közbeni OAuth-kódok.
• Kérelem szervek. Minden, amit a felvétel során beírt egy űrlapba, beleértve a bejelentkezési űrlapot is, ha a felvétel a bejelentkezés előtt kezdődött.
• Válasz testületek. Az exportálási lehetőségektől függően a tényleges adatok – ügyfélrekordok, számlaadatok, belső API-terhelések.
• Minden más, ami nyitva volt. A HAR böngészőlaponként működik, de az analitikai jeladók, a bővítményforgalom és a háttérfrissítések más szolgáltatásokból is megjelennek benne.

A HAR fájl fertőtlenítő veszi az exportálást és eltávolítja a hitelesítő adatokat hordozó részeket – cookie-kat, hitelesítési fejléceket, tokenekeket –, miközben érintetlenül hagyja a kérés- és válaszstruktúrát, amire a problémát hibakereső személynek valójában szüksége van. Illessze be, szerezzen be egy tisztított fájlt, csatolja.

Nézd meg mit küldesz

A rolót fertőtleníteni jobb, mint nem fertőtleníteni, de a hasznos szokás az, hogy először nézzünk. Másolja ki a gyanús kérés fejléceit a fejlesztői eszközökből, és futtassa át őket a HTTP fejléc elemző: a nyers blokkot olvasható név/érték párokra bontja, ami nyilvánvalóvá teszi, ha van X-Internal-Auth vagy egy szállítóspecifikus token fejléc, amelyet egy általános szerkesztési minta nem ismerte volna fel titokként.

A sütik megérdemlik a saját megjelenésüket. Illessze be a Cookie vagy Set-Cookie vonalat a süti elemző és minden cookie-t az attribútumokkal tördelve kapsz - HttpOnly, Secure, SameSite, lejárat. Ez egy szerkesztési ellenőrzés ("melyek ezek közül a munkamenet-tokenek?") és egy biztonsági felülvizsgálat egyszerre: egy munkamenet-süti HttpOnly vagy éves lejárattal már önmagában is lelet, és már nézed is.

A terminál kimenetének két problémája van

A beillesztett terminálnaplók titkokat – kapcsolódási karakterláncokat, tokeneket a curl parancsokban, környezeti kiíratásokat – és ANSI escape szekvenciákat is hordoznak. Ez az oka annak, hogy egy színes rönk válik belőle ESC[0;32m zajt okoz, amikor az egy jegyben landol, és megnehezítik a szöveg olvasását, és nehezen kereshetők. A ANSI sztriptíztáncos eltávolítja a szín- és kurzorvezérlő kódokat, és elhagyja a szöveget.

Aztán szerkeszteni. A adatszerkesztő megkeresi az ismétlődő kategóriákat – e-mail-címek, IP-címek, telefonszámok, kártyaszámok, kulcs alakú karakterláncok –, és következetesen lecseréli őket, így a napló továbbra is összefüggő nyomként olvasható, ahelyett, hogy falává válna. [REDACTED]. Hibakereséskor a következetesség számít: ha ugyanazt a felhasználói azonosítót mindenhol ugyanarra a helyőrzőre cserélik, az olvasó továbbra is követhet egy kérést ötven soron keresztül.

A mintaillesztés nem fogja meg a közönséges szövegnek tűnő titkot, ezért olvassa el az eredményt, mielőtt elküldi. A belső gazdagépnevek, a szabad szöveges mezőkben lévő ügyfélnevek és a felhasználóneveket tartalmazó fájl elérési útja az a három dolog, amely minden automatikus áthaladást túlél.

A szerkesztés nem forgatás

A legfontosabb pont, amit az emberek kihagynak: ha már elküldtek valahova egy hitelesítő adatot, annak nem kellett volna elmennie, a dokumentumból való eltávolítása nem tesz semmit. Lehet, hogy a címzett megkapja. Lehet egy e-mail archívumban, egy jegyrendszerben, egy csevegési háttérrendszerben, valaki helyi letöltési mappájában vagy egy modellszolgáltató naplóiban.

Forog. Érvénytelenítse a munkamenetet, vonja vissza a tokent, dobja be az API-kulcsot. Ezután tisztítsa meg a fájlt. Ebben a sorrendben, mert a tisztítás egy percig tart, és a forgatás az a rész, amely ténylegesen lezárja az expozíciót.

A csevegőablakba történő beillesztés közzététel alatt áll

Az asszisztenssel végzett hibakeresés most már normális, és egy kapcsolati karakterláncot tartalmazó veremkövetés az Enter billentyű lenyomása pillanatában egy harmadik félhez kerül. A terméktől és a tervtől függően ezt a szöveget megőrizheti, egy ember felülvizsgálhatja, vagy felhasználhatja edzésre. Tekintse meg a tárolt modellbe történő bármilyen beillesztést egy külső félnek való átvitelként – mert ez az –, és pontosan úgy fertőtlenítse, mint egy külső e-mail mellékletét.

Ez az az eset, amikor a helyi szerszámok nem preferencia, hanem az egész lényeg: minden itt megnevezett eszköz a böngészőben fut, így a fájl nem szerkesztett verziója soha nem töltődik fel semmire a tisztítás felé. A titkokat hordozó napló fertőtlenítése oly módon, hogy beilleszti egy webhelyre, amely feldolgozza azt egy szerveren, azt jelenti, hogy a titok már elhagyta, függetlenül attól, hogy néz ki a megtisztított kimenet.

Egy ellenőrző lista, amelyet érdemes rögzíteni

1. Rögzítse a HAR-t egy privát ablakban, ahol csak a megfelelő lap van nyitva, és indítsa el a rögzítést után bejelentkeztél.
2. Futtassa az exportálást a fertőtlenítőn keresztül.
3. Nyissa meg a megtisztított fájlt, és keresse meg token, secret, key, auth, password és a saját domain neveit.
4. Távolítsa el az ANSI-kódokat bármely terminálkimenetről, majd törölje az azonosítókat.
5. Olvassa el az eredményt a végétől a végéig. Rövidebb, mint gondolnád.
6. Forgassa el bármit, ami az eredetiben élő volt.
7. Küldje el olyan csatornán keresztül, amely lejár, ne olyanon, amely örökre archivál.

Hat perc munka egy hitelesítő adatszivárgás ellen, amely egyébként a végtelenségig a jegyek sorában állna.