Testando Exposição de Dados Sensíveis

Quando Usar

• Durante testes de penetração autorizados ao avaliar controles de proteção de dados
• Ao avaliar aplicações para conformidade com GDPR, PCI DSS, HIPAA ou outras proteções de dados
• Para identificar chaves de API, credenciais, tokens e segredos vazados em respostas de aplicações
• Ao testar se dados sensíveis estão devidamente criptografados em trânsito e em repouso
• Durante avaliações de segurança de APIs que lidam com PII (Informações Pessoais Identificáveis), dados financeiros ou registros de saúde

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração com escopo de manuseio de dados
• Burp Suite Professional: Para interceptar e analisar respostas em busca de dados sensíveis
• trufflehog: Ferramenta de escaneamento de segredos (pip install trufflehog)
• gitleaks: Scanner de segredos em repositórios Git (go install github.com/gitleaks/gitleaks/v8@latest)
• curl/httpie: Para testes manuais de endpoints
• Ferramentas de Desenvolvedor do Navegador (Browser DevTools): Para examinar armazenamento local, armazenamento de sessão e dados em cache
• testssl.sh: Ferramenta de teste de configuração TLS

Fluxo de Trabalho

Passo 1: Escanear por Segredos em Código do Lado do Cliente

Procure em arquivos JavaScript, código-fonte HTML e outros recursos do lado do cliente por segredos expostos.

# Download and search JavaScript files for secrets
curl -s "https://target.example.com/" | \
  grep -oP 'src="[^"]*\.js[^"]*"' | \
  grep -oP '"[^"]*"' | tr -d '"' | while read js; do
    echo "=== Scanning: $js ==="
    # Handle relative URLs
    if [[ "$js" == /* ]]; then
      curl -s "https://target.example.com$js"
    else
      curl -s "$js"
    fi | grep -inE \
      "(api[_-]?key|apikey|api[_-]?secret|aws[_-]?access|aws[_-]?secret|private[_-]?key|password|secret|token|auth|credential|AKIA[0-9A-Z]{16})" \
      | head -20
done

# Search for common secret patterns
curl -s "https://target.example.com/static/app.js" | grep -nP \
  "(AIza[0-9A-Za-z-_]{35}|AKIA[0-9A-Z]{16}|sk-[a-zA-Z0-9]{48}|ghp_[a-zA-Z0-9]{36}|xox[bpsa]-[0-9a-zA-Z-]{10,})"

# Check source maps for exposed source code
curl -s "https://target.example.com/static/app.js.map" | head -c 500
# Source maps may contain original source code with embedded secrets

# Search HTML source for exposed data
curl -s "https://target.example.com/" | grep -inE \
  "(api_key|secret|password|token|private_key|database_url|smtp_password)" | head -20

# Check for exposed .env or configuration files
for file in .env .env.local .env.production config.json settings.json \
  .aws/credentials .docker/config.json; do
  status=$(curl -s -o /dev/null -w "%{http_code}" \
    "https://target.example.com/$file")
  if [ "$status" == "200" ]; then
    echo "FOUND: $file ($status)"
  fi
done

Passo 2: Analisar Respostas de API para Exposição Excessiva de Dados

Verifique se os endpoints da API retornam mais dados do que o necessário.

# Fetch user profile and examine response fields
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://target.example.com/api/users/me" | jq .

# Look for sensitive fields that should not be exposed:
# - password, password_hash, password_salt
# - ssn, social_security_number, national_id
# - credit_card_number, card_cvv, card_expiry
# - api_key, secret_key, access_token, refresh_token
# - internal_id, database_id
# - ip_address, session_id
# - date_of_birth, drivers_license

# Check list endpoints for excessive data
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://target.example.com/api/users" | jq '.[0] | keys'

# Compare public vs authenticated responses
echo "=== Public ==="
curl -s "https://target.example.com/api/users/1" | jq 'keys'
echo "=== Authenticated ==="
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://target.example.com/api/users/1" | jq 'keys'

# Check error responses for information leakage
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"invalid": "data"}' \
  "https://target.example.com/api/users" | jq .
# Look for: stack traces, database queries, internal paths, version info

# Test for PII in search/autocomplete responses
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://target.example.com/api/search?q=john" | jq .
# May return full user records instead of just names

Passo 3: Testar Segurança na Transmissão de Dados

Verifique se dados sensíveis estão criptografados durante a transmissão.

# Verificar configuração TLS
# Usando testssl.sh
./testssl.sh "https://target.example.com"

# Verificações rápidas de TLS com curl
curl -s -v "https://target.example.com/" 2>&1 | grep -E "(SSL|TLS|cipher|subject)"

# Verificar endpoints HTTP (não HTTPS)

…