היקף הניסוי והסביבה
נבדק שרת הדגמה שמאזין רק ל-127.0.0.1, עם נתיב /backup.json שמחזיר רשומה מלאכותית. לא נבדקו דומיינים חיצוניים, נתוני לקוחות, משתמשים מחוברים או שרתי ייצור.
הניסוי הורץ ב-Node.js v24.18.0. קובץ התוצאה להורדה כולל זמן UTC, תגובות HTTP והחרגות. קוד הניסוי זמין לצורך שחזור מקומי; הפעלתו יוצרת שרת זמני במחשב בלבד וסוגרת אותו בסיום.
הממצא: נתיב גיבוי נגיש ללא אימות
לפני השינוי, בקשת GET ל-/backup.json החזירה HTTP 200 ואת הסמן SYNTHETIC-NO-CUSTOMER-DATA. זו הראיה לנגישות הנתיב בסביבת ההדגמה, לא ראיה לדליפת מידע אמיתי.
באתר אמיתי, משמעותו של גיבוי נגיש תלויה בתוכן, בהרשאות ובמידע שהוא חושף. כאן אין בסיס להענקת ציון CVSS או לחומרה עסקית, משום שהמידע מלאכותי. בדוח אמיתי יש לנמק את העדיפות לפי חשיפה והשפעה שנבדקו.
| שדה | תוצאה |
|---|---|
| נכס | שרת Node.js מקומי, נתיב /backup.json |
| ראיה לפני תיקון | HTTP 200 עם רשומת הדגמה |
| השפעה בניסוי | הורדת מידע מלאכותי בלבד |
| העדיפות בייצור | תיקבע לפי התוכן והחשיפה בפועל; לא נמדדה כאן |
התיקון והבדיקה החוזרת
הקוד שונה כך שנתיב הגיבוי אינו מחזיר עוד את הרשומה הציבורית. בבדיקה חוזרת התקבל HTTP 404 בנתיב, ובקשת דף הבית המשיכה להחזיר HTTP 200.
התוצאה מוכיחה את סגירת הנתיב המסוים בניסוי. היא אינה מוכיחה שאין עותק במקום אחר, שלא הייתה הורדה בעבר או שכל מנגנוני הגישה באתר אחר תקינים. בייצור יש לבדוק אחסון מחוץ לתיקייה ציבורית, הרשאות ושימור עותקים לפי התכנון.
איך להשתמש במבנה לדוח שלכם
לכל ממצא תנו מזהה, כתובת או רכיב, מועד בדיקה, תנאים וראיה מצומצמת שאינה חושפת סודות. הסבירו מה ידוע ומה דורש גישה נוספת. בסיום תעדו גם מה לא נבדק.
הימנעו מציון כולל שאינו מסביר את ההיקף. עדיף לדעת שנותר פער בגיבוי עם בעל אחריות, מאשר לקבל מספר גבוה בלי תיעוד של בדיקת שחזור.
| שדה | מה ממלאים |
|---|---|
| מזהה ונכס | מזהה ממצא ורכיב ללא סודות |
| תנאי בדיקה | מועד, גישה ושיטה שאושרו |
| ראיה והשפעה | תצפית מסוננת ומשמעות שניתן לבסס |
| המלצה ואחריות | פעולה ובעל תפקיד |
| בדיקה חוזרת | מועד, תוצאה וחריג |
| מגבלה | מה לא נבדק או לא אומת |
מה לשאול לפני הזמנת בדיקה
האם הבדיקה כוללת רק מידע פומבי או גם הרשאות ניהול? האם בדיקה חוזרת כלולה? מי מתקן ממצא שתלוי באחסון או בספק חיצוני? האם קיימת סביבת בדיקה ושמירת ראיות? תשובות אלה יקבעו את הערך המעשי של הדוח.
איך משחזרים את הניסוי המקומי
הורידו את קובץ security-audit-lab.mjs מהקישור בעמוד, שמרו אותו בתיקייה מקומית ופתחו בה מסוף עם Node.js מתאים. ההדגמה המקורית נבדקה בגרסה 24.18.0. הריצו node security-audit-lab.mjs. השרת נפתח רק ב-127.0.0.1 ונסגר בסיום; אין להזין יעד חיצוני.
- before.status מציג 200 ואת הסמן המלאכותי לפני התיקון.
- retest.status מציג 404 בנתיב שנסגר; homeStatus נשאר 200.
- checkedAt ו-environment מתארים את ההרצה שלכם. שמרו פלט חדש בנפרד, בלי להחליף את תיעוד ההרצה המקורית.
שלוש רמות מסקנה
ממצא מאומת: נתיב ההדגמה החזיר 200 לפני התיקון ו-404 אחריו. השערה לבירור: ייתכן עותק בנתיב אחר, אך הניסוי אינו בודק זאת. תחום שלא נבדק: הרשאות משתמשים בשרת ייצור. ההפרדה הזאת מונעת מהמלצה להפוך בטעות לעובדה.