유출된 비밀 스캐너

계속 감시하고 싶으신가요? myeventwatch로 무료 감시 — 만료 및 중단 알림, 카드 불필요.

노출로 간주되는 것 — 간주되지 않는 것

스캐너는 공개된 알려진 경로 목록 — /.env와 그 흔한 변형, /.git/HEAD와 /.git/config, 설정 파일, 백업 아카이브, 키 파일 — 을 공격자, 검색 엔진, 호기심 많은 방문자가 보낼 수 있는 것과 똑같은 평범한 공개 GET 요청으로 탐색합니다. 경로는 응답 내용이 그 파일이 실제로 어떤 모습이어야 하는지와 일치할 때만 노출로 간주됩니다. env 파일은 키-값 줄로 파싱될 수 있어야 하고, Git HEAD는 Git 참조처럼 보여야 합니다. 많은 서버는 모든 경로에 200으로 응답합니다 — 단일 페이지 앱 폴백, 맞춤 오류 페이지, 포괄 리라이트 등 — 그리고 홈페이지 HTML이 담긴 200은 유출이 아닙니다. 그런 경로는 결과에 응답했지만 확인되지 않음으로 따로 나열되어 직접 판단할 수 있습니다. 이 도구는 확인되지 않은 200을 절대 유출이라고 부르지 않으며, 어떤 스캐너를 사용하든 그래서는 안 됩니다.

파일 탐색과 함께 스캐너는 페이지 자체와 최대 약 열다섯 개의 JavaScript 번들을 가져와 알려진 비밀 형태를 찾습니다. 클라우드 액세스 키 ID, 개인 키 헤더, 일반적인 API 키와 토큰 할당, 데이터베이스 연결 문자열 같은 신호가 강한 패턴입니다. 클라이언트 측 코드는 정의상 공개입니다 — 브라우저로 전송된 것은 모든 방문자가 읽을 수 있습니다 — 따라서 어떤 파일도 잘못 구성되지 않았더라도 번들에서 발견된 실제 자격 증명은 노출된 것입니다. 발견 사항은 유형, 소스 파일, 발생 횟수별로 보고되며 값은 처음 최대 네 문자까지 마스킹됩니다. 어떤 키인지 알아보기에는 충분하지만, 보고서를 읽는 사람이 그것을 사용하기에는 절대 부족합니다. 완전한 비밀은 이 보고서로 가져오거나, 저장하거나, 표시하는 일이 절대 없습니다.

한계, 분명히 말합니다

이것은 알려진 경로에 대한 공개 읽기 전용 탐색이며, 그 한계는 결과의 일부입니다. 공개 목록에 있는 경로만 요청하므로 특이한 이름의 파일에 있는 비밀은 찾지 못합니다. 랜딩 페이지와 약 열다섯 개의 스크립트 번들을 스캔할 뿐 큰 사이트의 모든 자산을 스캔하지 않으며, 로그인하지 않고, 인증 뒤를 크롤링하지 않고, 파일명을 무차별 대입하지 않으며, 인증되지 않은 GET으로 원래 닿을 수 없는 것은 테스트하지 않습니다. 스캔은 방문자당 시간당 5회로 제한되고 결과는 10분 동안 캐시되므로, 그 시간 안에 다시 스캔하면 캐시된 판정이 표시될 수 있습니다. 스캔에는 시간 예산도 있습니다. 느린 대상이 이를 소진하면 결과는 부분으로 표시되고 그 사실을 밝힙니다. 부분적인 깨끗한 결과는 "깨끗함"이 아니라 "완전히 확인되지 않음"으로 취급하세요.

스캔에서 무언가 발견되면 삭제 속도보다 작업 순서가 더 중요합니다. 복사본이 이미 캐시, 아카이브, 타인의 손에 있을 수 있으므로, 먼저 자격 증명을 교체하세요 — 노출된 키를 폐기하고 새 키를 발급하세요. 파일을 삭제하면 새 다운로드만 멈출 뿐 이미 나간 키에는 아무 효과가 없습니다. 그런 다음 서버에서 파일을 제거하거나 경로를 차단하고, 복사본을 보유했을 수 있는 CDN과 프록시 캐시를 비우며, 같은 경로에 대한 이전 가져오기가 있는지 액세스 로그를 확인하세요. 동반 글인 노출된 .env 파일과 유출된 키는 공격자가 사용하는 첫 한 시간의 절차와 전체 복구 순서를 차례대로 안내합니다.

이웃 검사가 전체 그림을 완성합니다. 타사 스크립트 감사는 페이지가 불러오는 외부 스크립트를 다루며 — 이는 자신의 파일 유출과는 다른 공급망 위험입니다 — 보안 헤더 검사는 응답이 갖춘 브라우저 보호를 평가합니다. 방법에 대한 참고: 깨끗한 결과란 스캔 시점에 검사기의 네트워크 위치에서 볼 때 탐색한 경로 중 어느 것도 일치하는 내용으로 응답하지 않았고, 스캔한 파일에 알려진 비밀 패턴이 나타나지 않았다는 뜻입니다. 이는 해당 경로와 파일에 대한 증거이지 서버 전체에 대한 보증이 아닙니다. 애초에 파일을 웹 루트 밖에 두고, 서버가 게시하는 내용에 닿는 배포 변경이 있을 때마다 다시 스캔하세요.

공개된 탐색 목록

자주 묻는 질문