📱 Как я заметил утечку API-ключей в публичном репозитории GitHub

Наш подписчик поделился своим опытом работы над клиентским SDK, когда случайно наткнулся на свои собственные ключи доступа к платёжному провайдеру в открытом репозитории:

«Сначала я подумал, что тестовый аккаунт заблокирован, но логи CI показали, что в переменную PAYMENT_API_KEY подставляется строка
sk_live_XXXXXXXXXXXXXXXXXXXXXXXX, а не мой тестовый ключ. Я открыл последние изменения и обнаружил, что файл config.js с живыми ключами был случайно закоммичен:

module.exports = {
apiKey: process.env.PAYMENT_API_KEY || 'sk_live_XXXXXXXXXXXXXXXXXXXXXXXX',
apiSecret: 'sh_live_YYYYYYYYYYYYYYYYYYYY'
};

Оказалось, что .gitignore был настроен только на config.prod.js, а я работал с config.js. Репозиторий был публичным несколько недель и успел получить форки и звёзды.»

❓ Какие шаги предприняли бы для минимизации рисков и предотвращения повторных утечек?

🐸 Библиотека хакера

#междусобойчик

🛠 Фишка инструмента: Lulzbuster

Lulzbuster — это максимально быстрый инструмент для перебора директорий и файлов, написанный на C. Без лишнего софта, в один бинарь — и уже летит.

Какие возможности:

— Поиск скрытых директорий и файлов, на которые нет ссылок

— Фильтрация по статус-кодам, длине, редиректам

— Поддержка прокси, многопоточности и wordlist’ов с расширениями

— Умный режим (-S) для устранения мусора и фолсов

— Поддержка логирования и output в stdout или файл

Пример:

lulzbuster -u https://target.com -w common.txt -x php,zip,bak -t 40 -S

Подходит для багбаунти, внутреннего аудита и CTF 👍

🔗 GitHub проекта

🐸 Библиотека хакера

#буст

🦀 ТОП-5 инструментов для статического анализа

Эти инструменты помогут вам поддерживать высокое качество кода, повысить безопасность и минимизировать количество багов на ранних стадиях разработки.

➡️ SonarQube

Платформа для анализа качества кода, которая находит баги, уязвимости и нарушенные стандарты безопасности, улучшая защищенность приложения.

➡️ Semgrep

Инструмент для поиска уязвимостей с помощью паттернов в коде. Поддерживает более 30 языков и помогает быстро обнаруживать небезопасные практики.

➡️ Checkstyle

Линтер для Java, который анализирует стиль и безопасность кода, помогает выявлять уязвимости, например, неправильные уровни доступа или устаревшие библиотеки.

➡️ Cppcheck

Инструмент для C/C++, который обнаруживает ошибки и уязвимости, не выявляемые компиляторами, и помогает повышать безопасность кода на низком уровне.

➡️ PMD

Инструмент для поиска багов и уязвимостей, таких как неправильная обработка исключений или небезопасный доступ, с поддержкой различных языков программирования.

🐸 Библиотека хакера

#свежак

😀 Неправильная настройка сессий на сервере

Вы тестируете веб-приложение, использующее cookies для хранения сессионных данных. При проверке настроек cookies вы обнаруживаете, что следующие параметры сессии настроены неправильно:

➖ Secure — cookie не имеет этого флага, что позволяет передавать его по небезопасному HTTP-соединению.

➖ HttpOnly — флаг не установлен, что позволяет доступ к cookie через JavaScript, делая его уязвимым для XSS-атак.

➖ SameSite — не задано значение для этого параметра, что может привести к утечке сессионных данных при кросс-сайтовых запросах.

➖ Expires/Max-Age — cookie имеют слишком длинный срок действия, что может позволить сессии оставаться активными после истечения времени сессии.

❓ Что является основной угрозой в этой конфигурации?

🐸Библиотека хакера

#междусобойчик

🤑 Топ-вакансий для хакеров за неделю

Главный инженер-эксперт по ИБ — офис (Москва)

Системный инженер (пентест) — удаленно (Екатеринбург)

Старший инженер SOC — от 195 000 ₽, удаленно (Москва)

Pentest/Appsec Specialist — от 3 000 до 4 500 $, удаленно (Тбилиси)

Специалист по ИБ (SOC) — от 250 000 ₽, удаленно (Москва)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

😈 Как обойти CSP для теста XSS

При тестировании XSS часто упираешься в CSP, который «должен» блокировать вредный JS. Но на практике политики пишут с дырками.

1️⃣ Изучите заголовки

В DevTools → Network → Response Headers найди Content-Security-Policy.

2️⃣ Определите разрешённые источники

Смотрите на script-src и default-src. Особое внимание — на:

➖ *.example.com (wildcard может дать доступ к тестовым или уязвимым поддоменам)

➖ unsafe-inline (позволяет вставлять inline-скрипты)

3️⃣ Ищите подходящую точку внедрения

Используйте разрешённые домены для подгрузки своих payload’ов через:

➖ JSONP endpoints

➖ JS-файлы с уязвимостями

4️⃣ Пример

Если CSP разрешает scripts.example.com, а у вас есть контроль над тестовым поддоменом test.scripts.example.com, можно разместить там свой payload.js и загрузить его.

Такой подход помогает найти обходы, которые пропускают автоматические сканеры.

🐸 Библиотека хакера

#буст