搜索

[15056] 2020-02-25_Github敏感数据分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-02-25_Github敏感数据分析 G i t h u b 敏 感 数 据 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 2 - 2 5 很 少 有 数 据 存 储 库 可 以 比 很 少 有 数 据 存 储 库 可 以 比 G i t H u b 更 广 泛 地 应 用 于 代 码 开 发 生 产 ， 然 而 ， 正 如 老 话 所 说 的 更 广 泛 地 应 用 于 代 码 开 发 生 产 ， 然 而 ， 正 如 老 话 所 说 的 “ 速 度 越 快 ， 风 险 越 速 度 越 快 ， 风 险 越 大 大 ” 。 。 研 究 人 员 发 现 公 共 研 究 人 员 发 现 公 共 G i t H u b 帐 户 具 有 极 高 泄 露 敏 感 信 息 的 可 能 ， 数 据 丢 失 和 持 续 泄 露 事 件 风 险 增 加 。 通 过 帐 户 具 有 极 高 泄 露 敏 感 信 息 的 可 能 ， 数 据 丢 失 和 持 续 泄 露 事 件 风 险 增 加 。 通 过 适 当 的 适 当 的 D e v S e c O p s 和 使 用 和 使 用 G i t H u b 事 件 事 件 A P I 扫 描 器 ， 组 织 可 以 大 大 降 低 泄 露 信 息 的 风 险 。 扫 描 器 ， 组 织 可 以 大 大 降 低 泄 露 信 息 的 风 险 。 主 要 发 现 主 要 发 现 研 究 人 员 分 析 了 2 4 0 0 0 多 个 通 过 G i t H u b s   E v e n t   A P I 上 传 的 公 共 G i t H u b 数 据 ， 发 现 了 数 千 个 包 含 敏 感 信 息 的 文 件 ， 其 中 包 括 ： G i t H u b ’ s   E v e n t   A P I G i t H u b 为 开 发 人 员 提 供 了 A P I 搜 索 功 能 ， 可 以 实 时 地 列 出 发 布 到 G i t H u b 服 务 器 的 文 件 和 代 码 。 每 个 帐 户 每 小 时 限 制 5 0 0 0 个 请 求 ， A P I 允 许 研 究 人 员 查 看 和 扫 描 推 送 到 G i t h u b 的 任 何 公 共 域 内 可 用 的 文 件 ， 例 如 公 共 共 享 文 件 。 有 几 种 工 具 可 以 利 用 此 功 能 ， G i t H u b 本 身 操 作 和 维 护 G i t H u b 令 牌 扫 描 器 ， 可 检 查 文 件 中 的 令 牌 字 符 串 以 防 止 欺 诈 和 滥 用 。 A W S 的 g i t   s e c r e t s 可 用 来 扫 描 用 户 名 和 密 码 ， 以 及 其 他 关 键 字 符 串 以 防 暴 露 。 还 有 开 源 的 G i t H u b   A P I 扫 描 器 ， 如 g i t r o b 和 t r u g g l e h o g 等 ， 测 试 人 员 和 恶 意 用 户 都 可 使 用 它 们 来 识 别 潜 在 的 敏 感 信 息 。 S h h G i t   L i v e 研 究 人 员 使 用 e t h 0 i z z l e 的 s h h g i t 来 实 时 读 取 G i t H u b ， 并 试 图 解 决 以 下 三 个 问 题 。 1 、 是 否 在 文 件 中 找 到 潜 在 的 敏 感 数 据 ？ 2 、 能 追 踪 到 组 织 吗 ？ 3 、 安 全 预 防 措 施 是 否 可 以 防 止 潜 在 敏 感 数 据 的 不 必 要 暴 露 ？ 简 单 地 说 ， 这 三 个 问 题 的 答 案 都 是 肯 定 的 。 研 究 人 员 发 现 并 分 析 了 2 4 0 0 0 多 个 G i t H u b 文 件 ， 这 些 文 件 触 发 了 s h h g i t 的 1 2 0 个 规 则 以 及 研 究 人 员 自 定 义 的 规 则 。 研 究 人 员 发 现 一 些 潜 在 的 敏 感 数 据 ， 包 括 ： 4 1 0 9 配 置 文 件 、 2 4 6 4 个 A P I 密 钥 、 2 3 2 8 硬 编 码 用 户 名 和 密 码 、 2 1 4 4 私 钥 文 件 、 1 0 8 9   O A u t h 令 牌 研 究 人 员 确 认 了 这 些 数 据 的 有 效 性 ， 并 能 够 识 别 文 件 所 有 者 、 项 目 名 称 ， 发 布 这 些 信 息 的 商 业 公 司 的 名 称 。 结 果 分 析 结 果 分 析
硬 编 码 密 码 硬 编 码 密 码 最 关 键 的 发 现 是 硬 编 码 密 码 ， 总 共 发 现 2 3 2 8 个 用 户 名 和 密 码 ， 包 括 8 8 0 个 唯 一 密 码 ， 7 9 7 个 唯 一 用 户 名 。 这 些 密 码 在 服 务 U R L   A P I 和 S S H 配 置 文 件 中 找 到 。 研 究 人 员 指 出 只 有 1 8 % 的 密 码 与 前 1 0 个 最 常 见 的 密 码 相 关 。 密 码 “ p a s s w o r d ” 以 7 2 个 居 首 ， 密 码 “ s e c r e t ” 以 5 1 个 居 第 二 ， 前 1 0 个 最 常 见 密 码 见 表 1 。 8 8 0 个 唯 一 密 码 中 有 8 1 7 个 出 现 了 3 次 或 更 少 ， 6 6 5 个 密 码 只 出 现 了 1 次 。 以 下 是 对 1 0 个 密 码 项 的 采 样 ： p 4 s s W 0 r d e P @ # # w 0 r d P a s s w o r d ! q w e r t y 1 2 3 4 5 6 7 8 9 s i m p l e p a s s 1 2 3 s q l u s e r 2 0 1 9 s u p e r s e c r e t w i l s o n 1 2 3 4 5 6 7 x x x x x x x x x x x x x x x x x x x x Z * N s q g S 5 $ @ j H s F 2 从 主 观 的 角 度 来 看 一 些 密 码 是 公 司 企 业 常 见 密 码 ， 大 多 数 密 码 都 符 合 最 低 密 码 要 求 ， 而 且 很 容 易 记 住 ， 例 如 前 两 个 “ p a s s w o r d ” 密 码 。 然 而 这 些 密 码 很 容 易 被 攻 击 者 猜 到 ， 并 且 经 常 出 现 在 b r u t e f o r c e 字 典 列 表 中 。 示 例 中 的 其 他 条 目 是 非 常 简 单 的 密 码 ， 只 有 小 写 和 数 字 组 合 ， 甚 至 只 是 字 母 “ x ” 重 复 2 0 次 。 这 些 密 码 都 是 “ 高 可 能 性 的 合 法 密 码 ” ， 因 为 他 们 展 示 的 伪 复 杂 性 说 明 可 能 是 工 程 师 在 生 产 环 境 中 使 用 的 密 码 。 此 外 ， 由 于 这 些 密 码 出 现 在 对 云 服 务 （ 如 R e d i s 、 P o s t g r e S Q L 、 M o n g o D B 和 A M P Q ） U R L   A P I 请 求 中 的 频 率 很 高 ， 因 此 这 些 相 同 的 伪 复 杂 密 码 也 很 有 可 能 在 云 环 境 中 使 用 。 相 比 之 下 ， 研 究 人 员 只 发 现 了 2 7 个 使 用 可 变 密 码 的 唯 一 实 例 。 例 如 ， $ p a s s w o r d ， { p a s s w o r d } ， 或 % p a s s w o r d % 。 这 2 7 个 唯 一 的 密 码 实 例 只 占 识 别 出 的 2 3 2 8 个 密 码 中 的 6 7 个 ， 不 到 3 % 。
硬 编 码 硬 编 码 A P I   K e y 和 认 证 令 牌 和 认 证 令 牌 研 究 人 员 在 2 4 0 0 0 多 个 G i t H u b 文 件 中 识 别 出 2 4 6 4 个 A P I 密 钥 和 1 9 9 8 个 O A u t h 令 牌 。 所 有 发 现 均 是 唯 一 的 ， 只 有 1 5 个 k e y 或 令 牌 重 复 4 次 以 上 ， 并 且 在 所 有 G i t H u b 文 件 中 只 有 一 个 重 复 了 1 2 次 ， 见 表 2 。 由 于 A P I   k e y 和 O A u t h 令 牌 为 用 户 提 供 对 指 定 云 环 境 的 直 接 访 问 ， 如 果 A P I 密 钥 或 O A u t h 令 牌 落 入 其 他 人 手 中 ， 攻 击 者 可 能 会 模 拟 登 陆 并 获 得 对 环 境 的 控 制 。 如 果 在 云 环 境 中 创 建 了 具 有 管 理 权 限 的 A P I 密 钥 ， 使 用 该 A P I 密 钥 的 任 何 人 都 可 以 完 全 访 问 云 帐 户 。 曾 经 也 发 生 过 A P I 密 钥 泄 漏 事 件 ， 以 U p G u a r d 报 告 为 例 ， 攻 击 者 通 过 G i t H u b 公 开 了 将 近 1 G B 的 数 据 ， 包 括 A W S   A P I 密 钥 、 日 志 文 件 等 。 密 钥 和 令 牌 ， 就 像 密 码 一 样 ， 必 须 加 以 保 护 和 控 制 ， 确 保 它 们 只 为 合 法 用 户 所 知 。 任 何 丢 失 或 泄 漏 的 A P I 密 钥 和 O A u t h 令 牌 都 应 立 即 撤 销 并 重 新 发 布 。 表 3 显 示 了 标 识 的 2 4 6 4 个 A P I 密 钥 和 1 0 9 8 个 O A u t h 令 牌 以 及 它 们 关 联 的 环 境 。 配 置 和 私 钥 文 件 配 置 和 私 钥 文 件 配 置 文 件 是 规 则 识 别 最 高 的 文 件 类 别 ， 在 2 4 0 0 0 个 文 件 中 占 了 近 1 7 % 。 最 常 见 的 配 置 文 件 类 型 是 D j a n g o 配 置 文 件 ， 它 包
占 所 有 配 置 文 件 类 型 的 三 分 之 一 以 上 ， 见 表 4 。 D j a n g o 是 一 个 基 于 p y t h o n 的 w e b 框 架 。 P H P 也 是 w e b 设 计 中 常 见 的 脚 本 语 言 ， 位 居 第 三 。 这 些 基 于 w e b 的 配 置 文 件 可 能 会 公 开 组 织 的 云 基 础 设 施 ， 使 攻 击 者 能 够 轻 松 访 问 云 服 务 器 内 部 。 研 究 人 员 发 S h e l l 、 S S H 、 p r o f i l e 和 G i t 配 置 文 件 也 出 现 在 标 识 的 配 置 文 件 前 十 个 列 表 中 。 近 8 0 % 的 配 置 文 件 包 含 用 户 名 或 密 码 、 A P I 密 钥 或 O A u t h 令 牌 。 总 结 总 结 研 究 人 员 发 现 用 户 将 敏 感 数 据 上 传 到 G i t H u b ， 这 些 敏 感 数 据 包 括 ： 硬 编 码 用 户 名 和 密 码 、 硬 编 码 的 A P I 密 钥 、 硬 编 码 O A u t h 令 牌 、 内 部 服 务 和 环 境 配 置 研 究 人 员 强 烈 建 议 ， 彻 底 扫 描 从 公 共 存 储 库 （ 如 G i t H u b ） 中 提 取 的 每 个 I a C 模 板 是 否 存 在 漏 洞 。 几 乎 一 半 的 扫 描 包 含 一 个 潜 在 的 易 受 攻 击 的 配 置 ， 用 户 部 署 易 受 攻 击 的 云 模 板 的 可 能 性 很 大 。 此 外 ， 应 使 用 G i t H u b   A P I 扫 描 器 来 防 止 在 G i t H u b 公 开 敏 感 的 内 部 信 息 。 补 救 措 施 补 救 措 施 研 究 人 员 建 议 采 用 以 下 缓 解 措 施 ， 确 保 配 置 文 件 不 会 公 开 泄 漏 敏 感 信 息 ： 1 、 实 现 基 于 变 量 和 C L I 参 数 的 代 码 ， 从 代 码 中 删 除 硬 编 码 的 用 户 名 和 密 码 、 A P I 密 钥 和 O A u t h 令 牌 。 2 、 实 施 密 码 安 全 策 略 ， 强 制 使 用 复 杂 密 码 3 、 执 行 发 布 政 策 ， 规 范 和 防 止 从 外 部 共 享 内 部 敏 感 数 据 。 4 、 使 用 G i t H u b 的 企 业 帐 户 功 能 ， 确 保 公 共 共 享 安 全 。 5 、 使 用 A W S   g i t   s e c r e t s 、 G i t H u b 的 T o k e n S c a n n e r 、 g i t r o b 或 t r u g g l e h o g 等 工 具 来 识 别 和 删 除 公 开 发 布 的 令 牌 等 敏 感 信 息 。 * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理