Pred zdieľaním odstráňte tajomstvá z protokolov a súborov HAR

"Môžete mi poslať súbor HAR?" je rozumná požiadavka od podporného inžiniera a nebezpečná vec, ktorej bezmyšlienkovite vyhovieť. Export HAR je úplný záznam relácie prehliadača: každá požiadavka, každá hlavička odpovede, každý odoslaný súbor cookie a často aj telá odpovede. Odovzdanie neupraveného záznamu dáva príjemcovi možnosť vystupovať ako vy na ktorejkoľvek stránke v tomto zázname, kým budú tieto relácie živé.

To isté platí, menej očividne, pre úryvky denníka, ktoré ľudia vkladajú do tiketov, vlákien Slack a okien chatu počas celého dňa. Oplatí sa mať rutinu.

Čo je vlastne v súbore HAR

HAR je JSON a jeho dizajn je vyčerpávajúci. V bežnom exporte nájdete:

• Súbory cookie relácie za každú dotknutú doménu v plnom rozsahu tak, ako bola odoslaná. Toto je ten veľký – súbor cookie relácie je poverenie nosiča a príjemca na jeho použitie nepotrebuje vaše heslo.
• Authorization hlavičky, vrátane tokenov nosiča a základných overovacích poverení, ktoré sú triviálne dekódovateľné.
• Tokeny v reťazcoch dopytov. Odkazy na obnovenie hesla, podpísané adresy URL, kľúče rozhrania API odovzdané ako parametre, kódy OAuth uprostred procesu.
• Žiadosť orgánov. Všetko, čo ste zadali do formulára počas nahrávania, vrátane prihlasovacieho formulára, ak sa nahrávanie začalo predtým, ako ste sa prihlásili.
• Reagujúce orgány. V závislosti od možností exportu skutočné údaje — záznamy o zákazníkoch, podrobnosti o účte, interné užitočné zaťaženia API.
• Všetko ostatné ste mali otvorené. HAR je na karte prehliadača, ale nachádzajú sa v ňom aj analytické majáky, návštevnosť rozšírení a aktualizácie na pozadí z iných služieb.

The Dezinfekčný prostriedok na súbory HAR prevezme export a odstráni časti nesúce poverenia – cookies, autorizačné hlavičky, tokeny – pričom ponechá štruktúru požiadaviek a odpovedí nedotknutú, čo je to, čo osoba ladiaca váš problém skutočne potrebuje. Prilepte to, získajte vyčistený súbor, priložte ho.

Pozrite sa, čo posielate

Dezinfikovať roletu je lepšie ako nedezinfikovať, ale užitočný zvyk je najprv pozerať. Skopírujte hlavičky podozrivej požiadavky zo svojich vývojárskych nástrojov a spustite ich cez Analyzátor hlavičiek HTTP: rozdeľuje nespracovaný blok na páry názov/hodnota, ktoré si môžete prečítať, vďaka čomu je zrejmé, že X-Internal-Auth alebo hlavička tokenu špecifická pre dodávateľa, ktorú by všeobecný vzor redigovania nerozpoznal ako tajný.

Cookies si zaslúžia svoj vlastný vzhľad. Prilepiť a Cookie alebo Set-Cookie linka do analyzátor súborov cookie a každý súbor cookie sa rozdelí s jeho atribútmi – HttpOnly, Secure, SameSite, expirácia. Ide o kontrolu redakcie („ktoré z nich sú tokeny relácie?“) a kontrolu zabezpečenia súčasne: súbor cookie relácie bez HttpOnly alebo s ročnou expiráciou je nález sám o sebe a už sa na to pozeráte.

Výstup terminálu má dva problémy

Prilepené protokoly terminálu nesú tajomstvá – reťazce pripojenia, tokeny v príkazoch curl, výpisy prostredia – a tiež nesú sekvencie escape ANSI. To je dôvod, prečo sa farebné poleno mení na ESC[0;32m hluk, keď pristane na lístku, a sťažujú čítanie textu a jeho vyhľadávanie. The Stripovač ANSI odstráni farbu a kódy na ovládanie kurzora a ponechá text.

Potom zredigujte. The editor údajov nájde opakujúce sa kategórie – e-mailové adresy, IP adresy, telefónne čísla, čísla kariet, reťazce v tvare kľúča – a dôsledne ich nahradí, takže protokol sa stále číta ako súvislá stopa, namiesto toho, aby sa stal stenou [REDACTED]. Pri ladení záleží na konzistencii: ak sa rovnaké ID používateľa všade nahradí rovnakým zástupným symbolom, čitateľ môže stále sledovať jednu požiadavku cez päťdesiat riadkov.

Zhoda vzorov nezachytí tajomstvo, ktoré vyzerá ako obyčajný text, preto si pred odoslaním prečítajte výsledok. Interné názvy hostiteľov, mená zákazníkov v poliach s voľným textom a cesty k súborom obsahujúce používateľské mená sú tri veci, ktoré prežijú každý automatizovaný prechod.

Redakcia nie je rotácia

Najdôležitejší bod a ten, ktorý ľudia preskočia: ak už bolo poverenie niekam odoslané, nemalo zmiznúť, jeho odstránenie z dokumentu nič nerobí. Príjemca ho môže mať. Môže to byť v archíve e-mailov, lístkovom systéme, backende chatu, miestnom priečinku sťahovania niekoho alebo protokoloch poskytovateľa modelu.

Otočiť. Zrušte platnosť relácie, odvolajte token, prejdite kľúčom API. Potom vyčistite súbor. V tomto poradí, pretože čistenie trvá minútu a otáčanie je tá časť, ktorá vlastne uzatvára expozíciu.

Prilepenie do okna rozhovoru znamená zverejnenie

Ladenie pomocou asistenta je teraz normálne a sledovanie zásobníka s reťazcom pripojenia sa odošle tretej strane v momente, keď stlačíte Enter. V závislosti od produktu a plánu môže byť tento text uchovaný, skontrolovaný človekom alebo použitý na školenie. Zaobchádzajte s akoukoľvek pastou v hosťovanom modeli ako s prevodom na externú stranu – pretože to tak je – a dezinfikujte ju presne tak, ako by ste dezinfikovali prílohu k externému e-mailu.

Toto je prípad, keď miestne nástroje nie sú preferenciou, ale hlavným bodom: každý tu uvedený nástroj beží vo vašom prehliadači, takže neredigovaná verzia súboru sa na ceste k vyčisteniu nikdy nenahrá. Dezinfekcia protokolu nesúceho tajomstvá vložením na webovú stránku, ktorá ho spracuje na serveri, znamená, že tajomstvo už odišlo, nech už vyčistený výstup vyzerá akokoľvek.

Kontrolný zoznam, ktorý sa oplatí pripnúť

1. Nahrajte HAR v súkromnom okne s otvorenou iba príslušnou kartou a spustite nahrávanie po ste prihlásený.
2. Spustite export cez dezinfekčný prostriedok.
3. Otvorte vyčistený súbor a vyhľadajte ho token, secret, key, auth, password a vaše vlastné názvy domén.
4. Odstráňte kódy ANSI z akéhokoľvek výstupu terminálu a potom zredigujte identifikátory.
5. Prečítajte si výsledok od konca do konca. Je kratší, než si myslíte.
6. Otočte čokoľvek, čo bolo živé v origináli.
7. Pošlite ho cez kanál, ktorého platnosť vyprší, nie cez kanál, ktorý sa archivuje navždy.

Šesť minút práce proti úniku poverení, ktoré by inak sedeli v rade na lístky donekonečna.