ਸਾਡੇ ਸੀਕ੍ਰੇਟ ਸਕੈਨਰ ਵਿੱਚ ਉਹ ਬੱਗ ਜਿਸਨੂੰ ਕੈਨੇਰੀਆਂ ਨਹੀਂ ਲੱਭ ਸਕੀਆਂ
ਸ਼ਿਪਿੰਗ
ਕਿਸੇ ਵੀ ਕਿੱਟ ਨੂੰ ਜੋ ਅਸੀਂ ਵੇਚਦੇ ਹਾਂ, ਜ਼ਿੱਪ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਇੱਕ ਗੇਟ ਉਸਨੂੰ ਸਾਡੇ ਆਪਣੇ ਸੀਕ੍ਰੇਟਸ ਦੇ ਅਸਲ ਮੁੱਲਾਂ ਲਈ ਸਕੈਨ ਕਰਦਾ ਹੈ। ਹਰ ਸਕੈਨ ਕੈਨੇਰੀਆਂ ਲਾਉਣ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਹਰ ਕਿਸਮ ਦੀ ਇੱਕ, ਅਤੇ ਚੱਲਣ ਤੋਂ ਇਨਕਾਰ ਕਰ ਦਿੰਦਾ ਹੈ ਜੇਕਰ ਇਹ ਉਹਨਾਂ ਸਾਰਿਆਂ ਨੂੰ ਨਾ ਫੜੇ। ਇਹ ਹਮੇਸ਼ਾ ਉਹਨਾਂ ਨੂੰ ਫੜਦਾ ਸੀ। ਫਿਰ ਵੀ ਇਸ ਵਿੱਚ ਇੱਕ ਬੱਗ ਸੀ।
ਗੇਟ ਸੀਕ੍ਰੇਟਸ ਨੂੰ ਕਿਵੇਂ ਪੜ੍ਹਦਾ ਹੈ
ਗੇਟ ਸਿਰਫ਼ ਚੀਜ਼ਾਂ ਨੂੰ ਕੀਆਂ ਵਰਗੀ ਸ਼ਕਲ ਵਿੱਚ ਹੀ ਨਹੀਂ ਲੱਭਦਾ। ਇਹ ਉਹਨਾਂ ਫਾਈਲਾਂ ਨੂੰ ਪੜ੍ਹਦਾ ਹੈ ਜਿੱਥੇ ਸਾਡੇ ਸੀਕ੍ਰੇਟਸ ਰਹਿੰਦੇ ਹਨ (env ਫਾਈਲਾਂ, JSON ਕੌਨਫਿਗਸ, ਕੀ ਫਾਈਲਾਂ), ਹਰ ਉਸ ਮੁੱਲ ਨੂੰ ਲੈਂਦਾ ਹੈ ਜਿਸਦਾ ਨਾਮ ਦੱਸਦਾ ਹੈ ਕਿ ਇਹ ਸੀਕ੍ਰੇਟ ਹੈ, ਅਤੇ ਫਿਰ ਉਹਨਾਂ ਬਿਲਕੁਲ ਮੁੱਲਾਂ ਲਈ ਸਾਡੇ ਭੇਜਣ ਵਾਲੇ ਹਿੱਸੇ ਨੂੰ ਖੋਜਦਾ ਹੈ, ਜਿਵੇਂ ਲਿਖੇ ਗਏ ਹਨ ਅਤੇ base64-ਇਨਕੋਡ ਕੀਤੇ ਗਏ ਹਨ।
ਬੱਗ
ਇਸ ਤਰ੍ਹਾਂ ਦੀ ਇੱਕ ਲਾਈਨ ਲਈ:
DB_PASSWORD='Tr0ub4dor-and-3' # ਮਈ ਵਿੱਚ ਬਦਲਿਆ ਗਿਆਰੀਡਰ ਨੇ ਆਲੇ-ਦੁਆਲੇ ਦੇ ਕੋਟਸ ਸਿਰਫ਼ ਤਦ ਹੀ ਹਟਾਏ ਜਦੋਂ ਮੁੱਲ ਇੱਕ ਕੋਟ ਕਰੈਕਟਰ ਨਾਲ ਸ਼ੁਰੂ ਅਤੇ ਖਤਮ ਦੋਵੇਂ ਹੁੰਦਾ ਸੀ। ਮੁੱਲ ਤੋਂ ਬਾਅਦ ਇੱਕ ਕਮੈਂਟ ਹੋਣ ਕਰਕੇ, ਲਾਈਨ ਇੱਕ ਅੱਖਰ ਨਾਲ ਖਤਮ ਹੁੰਦੀ ਹੈ, ਇਸਲਈ ਕੋਟਸ ਬਣੇ ਰਹੇ। ਕਮੈਂਟ ਅਗਲੇ ਹੀ ਕੱਟ ਦਿੱਤਾ ਗਿਆ, ਅਤੇ ਗੇਟ 'Tr0ub4dor-and-3' ਨੂੰ ਖੋਜਣ ਲਈ ਅੱਗੇ ਵਧਿਆ, ਕੋਟਸ ਸਮੇਤ। ਉਹ ਕਿੱਟ ਜਿਸ ਵਿੱਚ ਉਹਨਾਂ ਕੋਟਸ ਤੋਂ ਬਿਨਾਂ ਪਾਸਵਰਡ ਹੁੰਦਾ, ਪਾਸ ਹੋ ਜਾਂਦੀ।
ਕੈਨੇਰੀਆਂ ਨੇ ਕਦੇ ਧਿਆਨ ਕਿਉਂ ਨਹੀਂ ਦਿੱਤਾ
ਇੱਕ ਕੈਨੇਰੀ ਇੱਕ ਨੈੱਟ ਦੀ ਜਾਂਚ ਕਰਦੀ ਹੈ: ਸਕੈਨਰ ਪਹਿਲਾਂ ਤੋਂ ਜਾਣਦਾ ਹੈ, ਇੱਕ ਮੁੱਲ ਲਾਓ, ਚੈੱਕ ਕਰੋ ਕਿ ਇਹ ਲੱਭਿਆ ਗਿਆ ਹੈ। ਸਾਡੇ ਕੈਨੇਰੀ ਮੁੱਲ ਸਿੱਧੇ ਸਕੈਨਰ ਨੂੰ ਦਿੱਤੇ ਗਏ ਸਨ, ਇਸਲਈ ਉਹ ਕਦੇ ਉਸ ਕੋਡ ਵਿੱਚੋਂ ਨਹੀਂ ਲੰਘੇ ਜੋ ਇੱਕ ਕੌਨਫਿਗ ਲਾਈਨ ਪੜ੍ਹਦਾ ਹੈ। ਹਰ ਨੈੱਟ ਦੀ ਜਾਂਚ ਕੀਤੀ ਗਈ ਸੀ, ਅਤੇ ਉਹਨਾਂ ਦੇ ਸਾਹਮਣੇ ਵਾਲੇ ਪਾਰਸਰ ਦੀ ਨਹੀਂ।
ਅਸੀਂ ਇਹ ਕਿਵੇਂ ਲੱਭਿਆ
ਅਸੀਂ ਗੇਟ ਨੂੰ ਆਪਣੇ ਆਪ ਵਿੱਚ ਇੱਕ ਉਤਪਾਦ ਬਣਾ ਰਹੇ ਸੀ, ਅਤੇ ਇੱਕ ਟੈਸਟ ਲਿਖਿਆ ਜਿਸਨੇ ਉਸਨੂੰ ਉਹਨਾਂ ਸ਼ਕਲਾਂ ਵਿੱਚ ਇੱਕ ਕੌਨਫਿਗ ਫਾਈਲ ਖੁਆਈ ਜੋ ਲੋਕ ਅਸਲ ਵਿੱਚ ਲਿਖਦੇ ਹਨ: export, ਕੋਟਸ, ਟ੍ਰੇਲਿੰਗ ਕਮੈਂਟਸ। ਟੈਸਟ ਕਮੈਂਟ ਵਾਲੀ ਕੋਟ ਕੀਤੀ ਲਾਈਨ 'ਤੇ ਫੇਲ੍ਹ ਹੋਇਆ। ਫਿਕਸ ਇੱਕ ਕੋਟ ਕੀਤੇ ਮੁੱਲ ਨੂੰ ਉਸਦੇ ਬੰਦ ਕਰਨ ਵਾਲੇ ਕੋਟ ਤੱਕ ਪੜ੍ਹਦਾ ਹੈ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਆਉਣ ਵਾਲੇ ਕਿਸੇ ਵੀ ਚੀਜ਼ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦਾ ਹੈ।
ਕੀ ਇਹ ਮਹੱਤਵਪੂਰਨ ਸੀ?
ਅਸੀਂ ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਚੈੱਕ ਕੀਤਾ। ਸਾਡੀ ਬਿਲਡ ਮਸ਼ੀਨ 'ਤੇ ਗੇਟ ਦਿੱਤੀਆਂ ਗਈਆਂ 59 ਫਾਈਲਾਂ ਵਿੱਚੋਂ 133 ਸੀਕ੍ਰੇਟ ਮੁੱਲ ਪੜ੍ਹਦਾ ਹੈ, ਅਤੇ ਦੂਜੀ ਮਸ਼ੀਨ 'ਤੇ 499; ਇੱਕ ਵੀ ਉਸ ਸ਼ਕਲ ਦਾ ਨਹੀਂ ਸੀ। ਕੋਈ ਪੁਰਾਣਾ ਫੈਸਲਾ ਨਹੀਂ ਬਦਲਦਾ: ਹਰ ਕਿੱਟ ਜੋ ਅਸੀਂ ਰਿਲੀਜ਼ ਕੀਤੀ ਹੈ, ਉਸੇ ਮੁੱਲਾਂ ਲਈ ਸਕੈਨ ਕੀਤੀ ਗਈ ਸੀ ਜੋ ਹੁਣ ਸਕੈਨ ਕੀਤੀ ਜਾਵੇਗੀ। ਅਸੀਂ ਤਿੰਨਾਂ ਮਸ਼ੀਨਾਂ 'ਤੇ ਗੇਟ ਨੂੰ ਫਿਰ ਵੀ ਠੀਕ ਕਰ ਦਿੱਤਾ।
ਸਿੱਖ
ਜੇ ਕੋਈ ਸਕੈਨਰ ਉਹ ਕੱਢ ਲੈਂਦਾ ਹੈ ਜਿਸਦੀ ਉਹ ਖੋਜ ਕਰਦਾ ਹੈ, ਤਾਂ ਅਸਲੀ ਇਨਪੁੱਟ ਨਾਲ ਕੱਢਣ ਦੀ ਜਾਂਚ ਕਰੋ, ਸਿਰਫ਼ ਖੋਜ ਨਾਲ ਨਹੀਂ ਜਿੱਥੇ ਮੁੱਲ ਪਹਿਲਾਂ ਹੀ ਭਰੇ ਹੋਣ। ਇੱਕ ਕੈਨੇਰੀ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਜਾਲ ਕੰਮ ਕਰਦਾ ਹੈ; ਇਹ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਕੀ ਸਹੀ ਮੱਛੀਆਂ ਕਦੇ ਉਸ ਤੱਕ ਪਹੁੰਚਦੀਆਂ ਹਨ। Secret Gate ਦੇ ਟੈਸਟ ਹੁਣ ਦੋਵਾਂ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਸਦੀ ਰਿਲੀਜ਼ ਤੋਂ ਪਹਿਲਾਂ ਅਸੀਂ ਪੁਸ਼ਟੀ ਕੀਤੀ ਸੀ ਕਿ ਇਹ ਸਾਡੇ ਬਿਲਡ ਗੇਟ ਵਾਂਗ ਬਿਲਕੁਲ ਉਹੀ 133 ਮੁੱਲ ਪੜ੍ਹਦਾ ਹੈ।