أخطاء مفصلة في الإنتاج

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

أداة تحويل عملات في عمليات الغربان تعمل ووضع التنقيح مفعل في الإنتاج مدخل لا يتوقعه الخادم يرميه فتظهر صفحة خطأ مفصلة تطبع أثر الخطأ ومعه متغيرات البيئة وفيها سر توقيع

ما الذي تراه أمامك

أداة تحويل العملات تحسب ناتجا لمبلغ رقمي وضع التنقيح مفعل خطأ في الإنتاج فأي مدخل غير رقمي يسبب خطأ يطبع أثرا مفصلا يشمل متغيرات البيئة وفيها السر

الهدف

استخرج سر التوقيع من صفحة الخطأ المفصلة

متى يعتبر محلولا

استخرجت سر التوقيع من الأثر المفصل

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

حول مبلغا رقميا عاديا وشاهد الناتج
أعط الأداة مدخلا ليس رقما
لاحظ أن الخطأ يطبع أثرا مفصلا
اقرأ سر التوقيع من متغيرات البيئة في الأثر

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

وضع التنقيح في الإنتاج يكشف للمستخدم تفاصيل داخلية مسارات الملفات وحالة الخادم ومتغيرات البيئة رسائل الخطأ يجب أن تكون عامة للمستخدم ومفصلة في السجل الداخلي فقط

السبب الجذري

وضع التنقيح مفعل في الإنتاج فتسرب رسائل الخطأ متغيرات البيئة الجذر إعداد إنتاج غير مقسى يكشف الداخل

كيف يصلح الكود

عطل التنقيح في الإنتاج وأعد رسالة عامة للمستخدم واحفظ التفاصيل في السجل الداخلي

الكود المصاب

app.use((err, req, res, next) => {
  // Debug on in production: the client gets the whole stack and the environment.
  res.status(500).json({ error: err.message, trace: err.stack, env: process.env });
});

الكود الآمن

app.use((err, req, res, next) => {
  logger.error(err);                 // full detail to the internal log only
  res.status(500).json({ error: 'Internal error' }); // generic to the client
});

الأثر في الواقع

الأخطاء المفصلة تسرب أسرارا ومسارات وإصدارات تسهل هجمات لاحقة وقد سربت مفاتيح وبيانات اتصال قواعد البيانات

كيف يكتشفها المدافعون

المدافع يعطل التنقيح في الإنتاج ويرد رسائل خطأ عامة ويرصد صفحات خطأ تحوي آثارا أو متغيرات بيئة

العودة إلى الدرس