Paylaşmadan önce günlüklerdeki ve HAR dosyalarındaki sırları çıkarın

"Bana bir HAR dosyası gönderebilir misin?" bir destek mühendisinin makul bir talebidir ve düşünmeden yerine getirilmesi tehlikeli bir şeydir. HAR dışa aktarımı, bir tarayıcı oturumunun eksiksiz bir kaydıdır: her istek, her yanıt başlığı, gönderilen her çerez ve çoğu zaman yanıt gövdeleri de. Bir kaydı düzenlenmeden teslim etmek, alıcıya, oturumlar devam ettiği sürece söz konusu kayıttaki herhangi bir sitede sizin adınıza hareket etme olanağı verir.

Aynı durum, daha az belirgin bir şekilde, insanların gün boyunca destek taleplerine, Slack konularına ve sohbet pencerelerine yapıştırdığı günlük parçacıkları için de geçerlidir. Bir rutine sahip olmaya değer.

Bir HAR dosyasında aslında ne var?

HAR, JSON'dur ve tasarımı gereği kapsamlıdır. Normal bir dışa aktarmada şunları bulacaksınız:

• Oturum çerezleri dokunduğunuz her alan adı için, gönderildiği şekliyle eksiksiz olarak. Bu en büyüğüdür; oturum çerezi taşıyıcının kimlik bilgisidir ve alıcının bunu kullanmak için şifrenize ihtiyacı yoktur.
• Authorization başlıklar, şifresi kolayca çözülebilen taşıyıcı belirteçleri ve temel kimlik bilgileri de dahil.
• Sorgu dizelerindeki belirteçler. Parola sıfırlama bağlantıları, imzalı URL'ler, parametre olarak iletilen API anahtarları, akışın ortasında OAuth kodları.
• Organları isteyin. Kayıt siz oturum açmadan önce başladıysa oturum açma formu da dahil olmak üzere, kayıt sırasında forma yazdığınız her şey.
• Müdahale organları. Dışa aktarma seçeneklerine bağlı olarak gerçek veriler (müşteri kayıtları, hesap ayrıntıları, dahili API verileri).
• Sahip olduğunuz diğer her şey açık. Bir HAR, tarayıcı sekmesi başınadır, ancak analiz işaretçileri, uzantı trafiği ve diğer hizmetlerden gelen arka plan yenilemeleri de buna dahildir.

HAR dosya temizleyici dışa aktarmayı alır ve kimlik bilgisi taşıyan parçaları (çerezler, kimlik doğrulama başlıkları, belirteçler) çıkarır ve istek ve yanıt yapısını olduğu gibi bırakır; sorununuzu hata ayıklayan kişinin gerçekte ihtiyaç duyduğu şey budur. Yapıştırın, temizlenmiş bir dosya alın, ekleyin.

Ne gönderdiğine bak

Körü körüne dezenfekte etmek, sterilize etmemekten daha iyidir, ancak faydalı alışkanlık önce bakmaktır. Şüpheli isteğin başlıklarını geliştirme araçlarınızdan kopyalayın ve bunları HTTP başlık ayrıştırıcısı: ham bir bloğu okuyabileceğiniz ad/değer çiftlerine böler; bu, bir X-Internal-Auth veya genel bir redaksiyon modelinin sır olarak tanıyamayacağı satıcıya özel bir belirteç başlığı.

Çerezler kendi görünümlerini hak ediyor. Yapıştır Cookie veya Set-Cookie içine doğru çizgi çerez ayrıştırıcı ve her bir çerezi niteliklerine göre ayrılmış olarak elde edersiniz - HttpOnly, Secure, SameSite, sona erme. Bu bir redaksiyon kontrolüdür ("bunlardan hangisi oturum belirteçleridir?") ve aynı zamanda bir güvenlik incelemesidir: olmayan bir oturum çerezi HttpOnly ya da bir yıllık bir sürenin dolması başlı başına bir bulgudur ve siz zaten ona bakıyorsunuz.

Terminal çıkışının iki sorunu var

Yapıştırılan terminal günlükleri sırları (bağlantı dizeleri, curl komutlarındaki belirteçler, ortam dökümleri) ve ayrıca ANSI kaçış dizilerini de taşır. Renkli bir kütüğün dönüşmesinin nedeni bunlar ESC[0;32m bilete düştüğünde gürültü çıkarır ve metni herkesin okumasını, sizin de aramanızı zorlaştırır. ANSI striptizci renk ve imleç kontrol kodlarını kaldırır ve metni bırakır.

Sonra düzeltin. veri redaktörü yinelenen kategorileri (e-posta adresleri, IP adresleri, telefon numaraları, kart numaraları, anahtar şeklindeki dizeler) bulur ve bunları tutarlı bir şekilde değiştirir; böylece günlük, bir duvar haline gelmek yerine tutarlı bir iz olarak okunmaya devam eder. [REDACTED]. Hata ayıklama sırasında tutarlılık önemlidir: Aynı kullanıcı kimliği her yerde aynı yer tutucuyla değiştirilirse okuyucu yine de bir isteği elli satır boyunca takip edebilir.

Desen eşleştirme, sıradan bir metne benzeyen bir sırrı yakalayamayacağından, göndermeden önce sonucu okuyun. Dahili ana bilgisayar adları, serbest metin alanlarındaki müşteri adları ve kullanıcı adlarını içeren dosya yolları, her otomatik geçişte hayatta kalan üç şeydir.

Redaksiyon döndürme değildir

İnsanların atladığı en önemli nokta: Kimlik bilgisi zaten bir yere gönderilmişse, gitmemesi gerekir, onu belgeden kaldırmak hiçbir şey yapmaz. Alıcı buna sahip olabilir. Bir e-posta arşivinde, bir bilet sisteminde, bir sohbet arka ucunda, birinin yerel indirme klasöründe veya bir model sağlayıcının günlüklerinde olabilir.

Döndür. Oturumu geçersiz kılın, jetonu iptal edin, API anahtarını alın. Daha sonra dosyayı temizleyin. Bu sırayla, çünkü temizlik bir dakika sürüyor ve döndürme aslında pozlamayı kapatan kısımdır.

Bir sohbet penceresine yapıştırmak yayınlanıyor

Bir asistanla hata ayıklamak artık normaldir ve içinde bağlantı dizesi bulunan yığın izleme, enter tuşuna bastığınız anda üçüncü bir tarafa gider. Ürüne ve plana bağlı olarak bu metin saklanabilir, bir kişi tarafından incelenebilir veya eğitim amacıyla kullanılabilir. Barındırılan bir modele yapılan herhangi bir yapıştırmayı, dışarıdaki bir tarafa aktarım olarak değerlendirin (çünkü öyledir) ve harici bir e-postanın ekini temizlediğiniz gibi onu da temizleyin.

Bu, yerel araçların bir tercih değil, asıl mesele olduğu durumdur: burada adı geçen her araç tarayıcınızda çalışır, bu nedenle dosyanın düzenlenmemiş sürümü, temizlenme yolunda hiçbir zaman hiçbir şeye yüklenmez. Sır içeren bir günlüğü, onu bir sunucuda işleyen bir web sitesine yapıştırarak temizlemek, temizlenen çıktı ne olursa olsun, sırrın zaten kaldığı anlamına gelir.

Sabitlemeye değer bir kontrol listesi

1. HAR'ı yalnızca ilgili sekme açık olacak şekilde özel bir pencereye kaydedin ve kaydetmeye başlayın sonrasında Giriş yaptınız.
2. Dışa aktarma işlemini dezenfektan aracılığıyla gerçekleştirin.
3. Temizlenen dosyayı açın ve arayın token, secret, key, auth, password ve kendi alan adlarınız.
4. ANSI kodlarını herhangi bir terminal çıkışından çıkarın, ardından tanımlayıcıları çıkarın.
5. Sonucu baştan sona okuyun. Düşündüğünüzden daha kısa.
6. Orijinalde canlı olan her şeyi döndürün.
7. Sonsuza kadar arşivleyen bir kanal yerine, süresi dolan bir kanal aracılığıyla gönderin.

Aksi takdirde süresiz olarak bilet kuyruğunda bekleyecek bir kimlik bilgisi sızıntısına karşı altı dakikalık çalışma.