WrongSecrets の基本

シークレットとは、パスワードやキー、トークンのように、人に知られてはいけないものです。開発者は、それを間違った場所に置いてしまうことがよくあります。コードに直接書く、ブラウザーに送ってしまう、監視用のページで見せてしまう、などです。WrongSecrets は、それをわざとすべてやってしまうアプリケーションです。これを使って、見つけ方を学びます。アプリが動いているかを確かめ、聞けばだれにでも何を教えてしまうかを調べ、すべての訪問者に送られるスクリプトを読みます。

これは、アプリケーションに、動いている状態かどうかを尋ねます。答えは {"groups":["liveness","readiness"],"status":"UP"} で、準備ができているという意味です。

ラボのバーの OWASP WrongSecrets のリンクを押して、Challenges メニューから Challenge 0 を選びます。ゲームの説明と、その答えが表示されます。答えを入力欄にコピーして Submit を押すと、ページに Your answer is correct!（正解です）と出ます。先に適当な答えを入れてみると、Your answer is incorrect, try harder ;-)（不正解です、もっとがんばって）と出ます。

アプリケーションには、運営する人向けのページがよくあります。このアプリケーションは、アクセスできる人ならだれにでも、その一覧を教えてくれます。一覧には3つ、auditevents、health、info が出ます。（sort -u は並べ替えて、重複を消します。一覧に health が2回出てくるからです。）3つのうち、知らない人に読まれたくないのはどれでしょうか。考えてみてください。Challenge 42 は、そのうちの1つについての問題です。

アプリケーションによっては、ブラウザーが実行するスクリプトの中にシークレットを入れています。このアプリケーションは、index.js というスクリプトを、すべての訪問者に送ります。最初の部分は、読みにくいようにわざとぐちゃぐちゃにしてあります。でも、ブラウザーは動かすために全体をダウンロードしなければならず、curl も同じです。ブラウザーが必要とするシークレットは、みんなが持っているシークレットです。Challenge 16 では、その中にあるシークレットを探します。

ブラウザーで Challenge 16 と Challenge 42 に挑戦してください。行き詰まったら、各チャレンジの下にあるヒントを使います。ラボのコピーにはないものを求める問題も多く（インターネットへの出口がないからです）、そういう問題はとばして、ほかの問題を選んでください。見つけたシークレットごとに、それがどこにあったか、本当はどこに保管するべきだったかを書き留めましょう。