FixVibe
Covered by FixVibehigh

API Düwmeleriň syzmagy: Häzirki zaman web programmalarynda töwekgelçilikler we düzedişler

Öňdäki kodda ýa-da ammar taryhynda gaty kodlanan syrlar hüjümçilere hyzmatlary görkezmäge, şahsy maglumatlara girmäge we çykdajylary çekmäge mümkinçilik berýär. Bu makala gizlin syzmak töwekgelçiligini we arassalamak we öňüni almak üçin zerur ädimleri öz içine alýar.

CWE-798

Täsir

API açarlary, bellikler ýa-da şahsyýetnamalary ýaly syrlary syzmak, [S1] serişdeleriň hyýanatçylykly peýdalanylmagy sebäpli duýgur maglumatlara rugsatsyz girilmegine, hyzmatyň şahsyýetine we ep-esli maliýe ýitgisine sebäp bolup biler. Jemgyýetçilik ammaryna bir syr berlensoň ýa-da öňdäki programma birikdirilse, [S1] bozulan hasap edilmeli.

Kök sebäp

Munuň düýp sebäbi, wersiýa gözegçilik etmek ýa-da [S1] müşderisine hyzmat etmek üçin gönüden-göni kod ýa-da konfigurasiýa faýllaryna duýgur şahsyýetnamalaryň goşulmagydyr. Işläp düzüjiler köplenç ösüş döwründe amatly bolmak üçin gaty kodly açarlary ýa-da tötänleýin .env faýllaryny [S1]-e goşýarlar.

Beton düzedişler

  • Gizlin syrlary aýlaň: Bir syr syzsa, derrew ýatyrylmaly we çalşylmaly. Kodyň häzirki wersiýasyndan syry aýyrmak ýeterlik däl, sebäbi wersiýa gözegçilik taryhynda [S1][S2] wersiýa dolandyryş taryhynda galýar.
  • Daşky gurşaw üýtgeýjilerini ulanyň: Gizlin kodlary däl-de, syrlary daşky gurşaw üýtgeýjilerinde saklaň. .env faýllarynyň .gitignore-e tötänleýin hereketleriň öňüni almak üçin [S1] goşulandygyna göz ýetiriň.

3 ..

  • Ammar taryhyny arassalaň: Gitde bir syr bar bolsa, git-filter-repo ýa-da BFG Repo-Arassalaýjy ýaly ammar taryhyndaky ähli şahalardan we belliklerden duýgur maglumatlary hemişelik aýyrmak üçin [S2] ulanyň.

FixVibe munuň üçin nädip synag edýär

FixVibe indi muny göni skanerde öz içine alýar. Passiw secrets.js-bundle-sweep birmeňzeş gelip çykyşy JavaScript bukjalaryny we belli API açary, belligi we entropiýa we ýer eýesi derwezeleri bilen şahsyýet nusgalaryny göçürip alýar. Degişli göni barlaglar brauzeriň saklanyşyny, çeşme kartalaryny, auth we BaaS müşderi bukjalaryny we GitHub repo çeşme nagyşlaryny barlaýar. Git taryhyny täzeden ýazmak düzediş ädimi bolup galýar; FixVibe-iň göni ýaýlymy, iberilen emläklerde, brauzer saklanyşynda we häzirki repo mazmunynda bar bolan syrlara gönükdirilýär.