بررسی محتوای صفحات وب برای نشت اطلاعات

چه چیزی را تست می‌کنیم؟

در این تست، محتوای صفحات وب را برای یافتن اطلاعات حساس بررسی می‌کنیم.

چرا این تست مهم است؟

توسعه‌دهندگان معمولاً اطلاعات حساس را در کامنت‌ها و فایل‌های JavaScript فراموش می‌کنند.

روش‌شناسی تست

بررسی کامنت‌های HTML

1<!-- TODO: remove before production -->
2<!-- Database: mysql://root:password@localhost/db -->
3<!-- API Key: sk-1234567890abcdef -->
4<!-- Admin panel: /admin/secret -->

بررسی متادیتا

تحلیل فایل‌های JavaScript

• API keyها و tokenهای hardcode شده
• Endpointهای مخفی API
• منطق برنامه و ساختار داخلی
• اطلاعات حساس مثل رمزهای عبور
• URLهای داخلی و آدرس‌های سرور

1const API_KEY = 'sk-1234567890abcdef';
2const API_URL = 'https://internal-api.example.com';
3const endpoints = {
4  users: '/api/v1/users',
5  admin: '/api/v1/admin'
6};

بررسی منابع پنهان

• فایل‌های CSS: ممکن است شامل URLهای داخلی باشند
• فایل‌های JSON: ممکن است شامل داده‌های حساس باشند
• فایل‌های map: فایل‌های source map ممکن است کد منبع را فاش کنند
• فایل‌های backup: فایل‌های با پسوند .bak، .old

یافته‌های رایج

• کامنت‌های HTML با اطلاعات حساس
• API keyها و tokenهای hardcode شده
• آدرس‌های داخلی و endpointهای مخفی
• اطلاعات نسخه نرم‌افزار و فریمورک
• فایل‌های source map با کد منبع

تأثیر

• دسترسی غیرمجاز به API‌ها و سرویس‌ها
• شناسایی آسیب‌پذیری‌های بیشتر
• درک منطق داخلی برنامه

راه‌حل

• تمام کامنت‌ها را قبل از استقرار حذف کنید
• فایل‌های JavaScript را minify و obfuscate کنید
• API keyها را در متغیرهای محیطی ذخیره کنید
• متادیتای غیرضروری را حذف کنید
• فایل‌های source map را در production قرار ندهید