بيانات دخول افتراضية

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

لوحة الإدارة الآن خلفها نموذج دخول لكنها تشحن بحساب افتراضي من المورد ولم يغيره أحد بعد التركيب فالحساب الافتراضي ما زال يعمل

ما الذي تراه أمامك

نفس لوحة عمليات الغربان لكن أمامها تسجيل دخول الآن المشكلة أن الحساب الافتراضي الذي جاء مع البرنامج لم يغير فتدخل به دون أن تعرف أي سر

الهدف

ادخل لوحة الإدارة بحساب افتراضي واقرأ المفتاح الرئيسي

متى يعتبر محلولا

دخلت بحساب افتراضي وقرأت المفتاح الرئيسي

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب بيانات خاطئة ولاحظ الرفض
تذكر أن المنتجات تشحن بحساب افتراضي معروف
جرب اسم المستخدم admin
جرب كلمة مرور افتراضية شائعة

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

الحساب الافتراضي للمورد معروف للجميع في التوثيق فإبقاؤه يعادل عدم وجود كلمة مرور إطلاقا تغيير أو حذف الحسابات الافتراضية خطوة تركيب أساسية أهملت

السبب الجذري

حساب افتراضي معروف بقي مفعلا بعد التركيب الجذر إهمال تقسية الإعداد وعدم تغيير ما يأتي جاهزا

كيف يصلح الكود

لا تشحن كلمة مرور جاهزة افرض ضبطها عند أول تشغيل وامنع القيم الافتراضية المعروفة

الكود المصاب

// Seeded with a default admin the installer never forces you to change.
users.create({ username: 'admin', password: 'changeme', role: 'admin' });

الكود الآمن

// No shipped password: provisioning forces setting one on first run, and blocks known defaults.
if (isDefaultPassword(pw)) throw new Error('choose a non-default password');
users.create({ username: 'admin', password: await hash(pw), mustRotate: true });

الأثر في الواقع

بيانات الدخول الافتراضية سبب متكرر في اختراق الأجهزة والخدمات وشبكات الكاميرات واللوحات الصناعية

كيف يكتشفها المدافعون

المدافع يفرض تغيير كلمة المرور عند أول دخول ويرصد محاولات الدخول بالحسابات الافتراضية المعروفة

المستوى التالي العودة إلى الدرس