代码气味 – 蹲着

2024-08-14 0 431

不要提前在关键任务资源上使用可猜测的名称

tl;dr:通过避免可预测的命名模式来保护您的云资源

问题

  • 预测的名字

  • 未经授权的访问

  • 数据暴露风险

  • 影子资源

  • 帐户接管

  • idor 漏洞

  • 过早优化

解决方案

  1. 使用带有暗键的独特存储桶名称

  2. 验证创建的所有权

  3. 充分保障资源

  4. 间接混淆真实姓名

  5. 书名防止抢注

  6. 随机名字

语境

当攻击者预见到云资源(例如 s3 存储桶)的命名模式时,就会发生资源抢占。

攻击者在用户尚未部署资源的区域创建它们。

用户与这些攻击者拥有的资源的交互可能会导致严重的安全漏洞,例如数据泄露、未经授权的访问或帐户接管。

此漏洞在 aws 等经常使用可预测命名约定的环境中至关重要。

许多系统避免这种间接方式,担心性能损失,这是过早优化的明显例子。

示例代码

错误的

1

2

3

4

def create_bucket(account_id, region):

    bucket_name = f"aws-glue-assets-{account_id}-{region}"

    create_s3_bucket(bucket_name) 

   # this is deterministic and open

正确的

1

2

3

4

5

6

7

8

9

10

import uuid

def create_bucket(account_id, region):

    unique_id = uuid.uuid4().hex

    # This number is not deterministic

    # is a way to generate a random UUID (Universally Unique Identifier)

    # in Python and then retrieve it as a hexadecimal string.

    bucket_name = f"aws-glue-assets-{unique_id}-{account_id}-{region}"

    create_s3_bucket(bucket_name)

    verify_bucket_ownershIP(bucket_name, account_id)

检测

[x] 自动

安全审核可以通过分析资源名称的可预测性来检测这种气味。

寻找攻击者可以轻松预测或猜测的名称模式。

许多自动化工具和手动代码审查可以帮助识别这些风险。

标签

    安全

等级

[x] 中级

人工智能一代

人工智能生成器可以使用具有可预测命名模式的标准模板来创建这种气味。

始终自定义和检查生成的代码以确保安全。

人工智能检测

如果配置了识别可预测或不安全资源命名约定的规则,人工智能可以帮助检测这种气味。

这是一个安全风险,需要了解云基础设施和潜在的攻击媒介。

结论

避免可预测的命名模式对于保护云资源至关重要。

始终使用独特、晦涩、难以猜测的名称,并验证资源所有权以防止抢注攻击。

关系

更多信息

gb 黑客

维基百科

免责声明

代码味道是我的观点。

制作人员

照片由 felix koutchinski 在 unsplash 上拍摄


唯一真正安全的系统是关闭并拔掉插头的系统,锁在钛衬里的保险箱中,埋在混凝土掩体中,周围是神经毒气和高薪武装警卫。即便如此,我也不会赌上我的生命。

吉恩·斯帕福德


本文是 codesmell 系列的一部分。

收藏 (0) 打赏

感谢您的支持,我会继续努力的!

打开微信/支付宝扫一扫,即可进行扫码打赏哦,分享从这里开始,精彩与您同在
点赞 (0)

免责声明
1. 本站所有资源来源于用户上传和网络等,如有侵权请邮件联系本站整改team@lcwl.fun!
2. 分享目的仅供大家学习和交流,您必须在下载后24小时内删除!
3. 不得使用于非法商业用途,不得违反国家法律。否则后果自负!
4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解!
5. 如有链接无法下载、失效或广告,请联系本站工作人员处理!
6. 本站资源售价或VIP只是赞助,收取费用仅维持本站的日常运营所需!
7. 如遇到加密压缩包,请使用WINRAR解压,如遇到无法解压的请联系管理员!
8. 因人力时间成本问题,部分源码未能详细测试(解密),不能分辨部分源码是病毒还是误报,所以没有进行任何修改,大家使用前请进行甄别!
9.本站所有源码资源都是经过本站工作人员人工亲测可搭建的,保证每个源码都可以正常搭建,但不保证源码内功能都完全可用,源码属于可复制的产品,无任何理由退款!

网站搭建学习网 Python 代码气味 – 蹲着 https://www.xuezuoweb.com/12925.html

常见问题
  • 本站所有的源码都是经过平台人工部署搭建测试过可用的
查看详情
  • 购买源码资源时购买了带主机的套餐是指可以享受源码和所选套餐型号的主机两个产品,在本站套餐里开通主机可享优惠,最高免费使用主机
查看详情

相关文章

发表评论
暂无评论
官方客服团队

为您解决烦忧 - 24小时在线 专业服务

Fa快捷助手
手机编程软件开发

在手机上用手点一点就能轻松做软件

去做软件
链未云主机
免备案香港云主机

开通主机就送域名的免备案香港云主机

去使用
链未云服务器
免备案香港云服务器

支持售后、超低价、稳定的免备案香港云服务器

去使用