Code de débogage restant

Qu'est-ce que Code de débogage restant?

Le défaut ici ne réside pas dans la fonctionnalité mais dans le commutateur destiné à la désactiver. Une route de débogage se protège avec une variable d'environnement mal orthographiée, la comparaison devient undefined !== 'production' et la route répond en production. Vous balayerez les chemins de débogage jusqu'à ce que /api/_debug/env renvoie le mot de passe de la base de données, le secret de signature JWT et les clés cloud actives, puis forgerez un jeton d'administrateur avec ce secret. Le correctif effectue une rotation de chaque identifiant divulgué et exclut la route du bundle de production au moment de la construction.

Ce que vous apprendrez dans Code de débogage restant

• Reconnaître l'exposition de la route de débogage comme un mode d'échec de configuration de sécurité, la porte est le bogue, pas la logique qu'elle protège
• Comprenez que les portes env-var d'exécution échouent silencieusement en cas de fautes de frappe (<code>process.env.UNDEFINED</code> renvoie undéfini, aucune erreur), donc les listes autorisées positives avec égalité explicite sont plus sûres que les listes de refus négatives
• Appliquez le correctif immédiat (faites pivoter chaque identifiant divulgué, retournez la porte vers une liste verte explicite avec le nom correct de la variable d'environnement) et le correctif systémique (exclusion au moment de la construction via DefinePlugin / esbuild --define / conditional require)
• Auditez chaque débogage, état, santé, métriques et point de terminaison interne à l'administrateur pour le contenu de réponse qui inclut des secrets, des adresses IP internes, des versions de dépendance ou des traces de pile.
• Internaliser : les routes qui ne devraient pas exister en production doivent être absentes du bundle de production, et non pas présentes mais fermées

Code de débogage restant — Étapes de la formation

1. Évaluez la cible

   Bob est un acteur malveillant. Il gagne sa vie en extrayant des données d'entreprises qui ont laissé quelque chose exposé, puis en les vendant ou en les utilisant pour récupérer leur argent. Aujourd'hui, sa cible est Vessura, une plateforme d'approvisionnement sur laquelle d'autres entreprises fonctionnent. Il commence là où n'importe qui le ferait, sur le site public, en évaluant l'entreprise avant de chercher un moyen d'y entrer.

2. Cartographier ce qui est exposé

   Rien sur le site public n'est inhabituel : un identifiant, un annuaire des fournisseurs, une page d'assistance. Mais les applications sont livrées avec plus que leur porte d’entrée. L'échafaudage de développeur laissé dans une version reste accessible à toute personne qui cherche, donc Bob cartographie chaque chemin auquel l'API du portail répond réellement.

3. Suivez la route du débogage

   Bob reconstruit la demande signalée par l'analyse. Il pointe le testeur d'API vers le chemin de débogage et envoie un simple GET, sans connexion ni jeton, pour voir ce qu'il rend.

4. Chaque secret à la fois

   La réponse n'est pas une page d'erreur. Il s'agit de l'ensemble de l'environnement de processus d'un serveur de production, transmis à une requête ne comportant aucune connexion.

5. Forger un jeton d'administrateur

   Le dump a remis à Bob le JWT_SECRET , la clé que l'application utilise pour signer chaque jeton de session. De retour dans le même terminal, il crée son propre jeton, tamponne le rôle d'administrateur et le serveur l'acceptera comme une véritable connexion.

6. Entrez en tant qu'administrateur

   Maintenant, Bob utilise le jeton. Il appelle l'API interne du fournisseur, une page destinée uniquement aux administrateurs connectés, et porte le jeton falsifié dans un en-tête Authorization afin que le serveur le traite comme tel. Le terminal de gauche contient toujours le jeton qu'il vient de frapper.

7. Le grand livre est ouvert

   Le serveur a fait confiance au jeton et a répondu. Bob lit désormais le grand livre interne du fournisseur à partir d'une API publique, sans son propre compte.

8. Contrôle des connaissances

   Vous venez de regarder un seul chemin restant transmettre tous les secrets, puis une session d'administration. Verrouillez pourquoi.

9. L’alerte DLP débarque

   Vous possédez le portail d'approvisionnement de Vessura. Du jour au lendemain, la surveillance des pertes de données sortantes s'est déclenchée sur une réponse qui transportait des secrets en direct hors du serveur. Les opérations de sécurité vous ont envoyé les détails par e-mail.

10. Ouvrir le gestionnaire

    Ouvrez le gestionnaire de débogage et regardez comment il décide de répondre ou non.