Zadanie 2 TBO Michal Jakobczak #39
Open
Conversation
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.
This suggestion is invalid because no changes were made to the code.
Suggestions cannot be applied while the pull request is closed.
Suggestions cannot be applied while viewing a subset of changes.
Only one suggestion per line can be applied in a batch.
Add this suggestion to a batch that can be applied as a single commit.
Applying suggestions on deleted lines is not supported.
You must change the existing code in this line in order to create a valid suggestion.
Outdated suggestions cannot be applied.
This suggestion has been applied or marked resolved.
Suggestions cannot be applied from pending reviews.
Suggestions cannot be applied on multi-line comments.
Suggestions cannot be applied while the pull request is queued to merge.
Suggestion cannot be applied right now. Please check back later.
Zadanie 1
Została uruchomiona aplikacja Python, w logach aplikacji zostało odnalezione logowanie otwartym tekstem dane wrażliwe- numer Pesel:
Getting: Customer(ID: None, Name: Michal, City: Warsaw, Age: 20, Pesel: 99091208567, Street: Nowowiejska, AppNo: 9)
Tak więc żeby zakryć dane wrażliwe, została dodana poprawka, która zastępuje cyfry numeru pesel znakami "*", co pozwala na usunięcie z logów danych wrażliwych przy wciąż istniejącej informacji o dodaniu nowego użytkownika.
Zadanie 2
Zostało uruchomione skanowanie gitleaks w celu weryfikacji czy w repozytorium (lub jego historii) znajdują się sekrety. Działanie skanowania git leaks zostało zapisane w pliku gitleaks_scan_report.txt. Z przeprowadzonego skanu możemy wywnioskować, że w repozytorium znajdują się 3 pliki z prywatnymi kluczami RSA. Rozwiązaniem takiej sytuacji byłaby natychmiastowa zmiana znalezionych kluczy, a następnie usunięcie znalezionych kluczy z repozytorium i jego historii.
Zadanie 3
W zadaniu 3 zostało uruchomione skanowanie pyupio, a jego wynik znajduje się w pliku pyupio_scan_report.txt. Z wymienionych podatności, w mojej ocenie jest, najbardziej krytyczną jest podatność w pakiecie Werkzeug (ID: 71594) Remote Code Execution (RCE).
W pakiecie Werkzeug wykryto podatność typu RCE oznaczoną jako Wysoka. Wykorzystanie podatności jest możliwe poprzez zdalne sterowanie debuggerem, co umożliwia atakującemu uzyskanie pełnego dostępu do aplikacji. Atak wymaga, aby ofiara weszła na stronę kontrolowaną przez atakującego oraz wprowadziła kod PIN debugger’a, co pozwala na przejęcie sesji debugowania i wykonanie dowolnego kodu na maszynie ofiary. Po analizie w badanej aplikacji Werkzeug debugger jest domyślnie wyłączony na produkcji, dlatego prawdopodobieństwo wykorzystania tej podatności jest minimalne.