Passiv tekshiruv namunasi
Ushbu tekshiruv Burp Scanner'ga AWS Access Key ID'ni oshkor qiladigan javoblarni aniqlash imkonini beradi. Bu passiv tekshiruvga (ya'ni hech qanday qo'shimcha so'rov yubormasdan Burp orqali o'tayotgan trafikni ko'zdan kechiradigan tekshiruvga) misol.
Aniqroq aytganda, tekshiruv har bir javobni AKIA[0-9A-Z]{16} doimiy ifodasi bo'yicha ko'zdan kechiradi. Agar Burp Scanner mos keluvchi ifodani topsa, u AWS kalit ma'lumotlari oshkor qilinganini bildiruvchi muammoni qaytaradi.
Eslatma
Garchi bu ishlangan namuna AWS kalit ID'larini aniqlasa-da, matches shablonini o'zgartirish orqali oshkor qilingan ma'lumotning istalgan shaklini aniqlaydigan tekshiruv yaratishingiz mumkin.
1-qadam: Metadata qo'shish
Ta'rif metadata bloki bilan boshlanadi. Mavjud metadata xossalari haqida batafsil ma'lumot olish uchun ma'lumotnoma hujjatlariga qarang.
2-qadam: Tekshiruv moslashtiradigan satrni qo'shish
Bu namuna qabul qilingan har bir javobni if ifodasi yordamida tekshiradi. Ifoda AKIA[0-9A-Z]{16} regex satrini qidiradi. Bu AWS kalit ma'lumotlari javobda ko'rinishi ehtimoli yuqori bo'lgan format.
3-qadam: Muammo haqida xabar berish
Agar Burp Scanner AWS kalit ma'lumotlarini o'z ichiga olgan javobni topsa, u muammo haqida firm ishonch darajasi bilan xabar beradi va bir nechta oddiy bartaraf etish maslahatini beradi.
Ushbu BCheck'ni sinab ko'ring
Xato xabarlaridagi ma'lumot oshkorligi bo'yicha Web Security Academy laboratoriyasini yechish uchun shunga o'xshash passiv skanerlash tekshiruvidan foydalanishingiz mumkin. Ushbu BCheck'ni laboratoriyadagi Apache Struts versiya raqamini topadigan qilib qayta yoza olasizmi?