.env-Risiko ohne Wertewiederholung
Doppelte Schlüssel, ungültige Zuweisungen, leere kritische Werte und öffentliche Präfixe sind strukturell prüfbar. Werte sollten maskiert werden, damit der Bericht keine zweite Kopie eines Geheimnisses erzeugt.
Bei vermuteter Offenlegung sind Rotation, Zugriffsprüfung und ein autorisierter Prozess für die Historie erforderlich.
- Synthetische Werte bevorzugen.
- Öffentliche Präfixe prüfen.
- Verdächtige Schlüssel sofort rotieren.
SQL-Formatierung ist kein Sicherheitstest
Lesbares SQL macht SELECT *, mehrere Anweisungen und UPDATE/DELETE ohne WHERE sichtbar, validiert aber weder Schema noch Plan oder Autorisierung.
Parameterbindung muss im Anwendungscode geprüft werden; der Browser darf die Abfrage nicht ausführen.
chmod im Dateikontext bewerten
755 kann für Verzeichnisse passen und für Geheimnisdateien zu weit sein. World-writable und Spezialbits sind kontextabhängige Risiken.
ACL, Eigentümer, Mounts und umask liegen außerhalb eines reinen Rechners und müssen separat geprüft werden.
Den Ratgeber sicher ausprobieren
Testen Sie die Schritte aus „Lokale Sicherheitsvorprüfung für .env, SQL und Unix-Rechte“ zuerst mit synthetischen Daten in .env-Sicherheitsprüfer. Häkchen bleiben nur in diesem Tab.
Den Ratgeber in eine wiederholbare Prüfung überführen
Nutzen Sie diesen Prüfplan mit 4 Werkzeugen für „Lokale Sicherheitsvorprüfung für .env, SQL und Unix-Rechte“. Ziel: Praxisleitfaden zu maskierten Umgebungswerten, SQL-Risikomustern und chmod-Rechten. Beginnen Sie mit einem sicheren Beispiel statt Echtdaten und dokumentieren Sie Sollergebnis und Abnahmeentscheidung jedes Schritts.
.env-Sicherheitsprüfer
- Vorbereitung
- lokale Datei(en) eines unterstützten Typs innerhalb der angegebenen Größenbegrenzung Prüfen Sie das Format zuerst mit einem synthetischen Beispiel statt mit sensiblen Echtdaten.
- Durchführung
- Lokale Verarbeitung starten. Die Datei wird im Browserspeicher gelesen; eine neue Ausgabe entsteht, ohne das Original zu überschreiben.
- Abnahmekontrolle
- Abnahmekriterium: Erhalt des Originals sowie Prüfung von Öffnung, Seiten/Bildern, Größe und sichtbarer Qualität Code wird nicht ausgeführt; kein Fund beweist nicht die Abwesenheit von Schwachstellen.
- Erwartete Ausgabe
- neue Download-Datei, Größen- und Formatkennzahlen sowie offengelegte Verarbeitungsgrenzen. Format, Duplikate und Geheimnisrisiken prüfen, ohne Werte offenzulegen.
SQL-Formatierer & Abfrageanalyse
- Vorbereitung
- SQL-Text mit bekannter Zieldialekt- und Operationseinstellung Prüfen Sie das Format zuerst mit einem synthetischen Beispiel statt mit sensiblen Echtdaten.
- Durchführung
- Lokale Verarbeitung starten. Die Verarbeitung nutzt deterministische Regeln und erhält Feld- und Typgrenzen.
- Abnahmekontrolle
- Abnahmekriterium: Feldnamen, Werttypen, Escaping sowie Leer- und Nullwerte im Vergleich zur Quelle Prüfen Sie Schema, Kodierung und mögliche Datenverluste im Zielsystem.
- Erwartete Ausgabe
- eine geparste Struktur, Feldkennzahlen und klare Syntaxbefunde. SQL lesbar formatieren und riskante Muster lokal vorprüfen.
Unix-Berechtigungsrechner
- Vorbereitung
- Datum, Uhrzeit, Dauer oder Zeitplan mit eindeutigem Format und Zeitzone Prüfen Sie das Format zuerst mit einem synthetischen Beispiel statt mit sensiblen Echtdaten.
- Durchführung
- Lokale Verarbeitung starten. Kalender-, Zeitzonen- und Einschlussregeln werden getrennt berechnet.
- Abnahmekontrolle
- Abnahmekriterium: UTC-Entsprechung, Zeitumstellungen, Grenzdaten und geltende offizielle Kalenderregeln Code wird nicht ausgeführt; kein Fund beweist nicht die Abwesenheit von Schwachstellen.
- Erwartete Ausgabe
- normalisierte Zeitwerte, Rechenübersicht und Warnungen bei unklaren Zeitzonen. chmod-Zahlen und rwx-Notation umwandeln und Risiken erklären.
HTTP-Sicherheitsheader-Prüfer
- Vorbereitung
- die vom Werkzeug verlangte URL, HTTP-Header, cURL-Anweisung, API-Definition oder Webkonfiguration Prüfen Sie das Format zuerst mit einem synthetischen Beispiel statt mit sensiblen Echtdaten.
- Durchführung
- Lokale Verarbeitung starten. Die Eingabe wird ohne Netzwerkanfrage geparst; Bestandteile und riskante Annahmen werden getrennt dargestellt.
- Abnahmekontrolle
- Abnahmekriterium: Vergleich mit aktuellem Standard und realem Serververhalten in einer autorisierten Testumgebung Code wird nicht ausgeführt; kein Fund beweist nicht die Abwesenheit von Schwachstellen.
- Erwartete Ausgabe
- normalisierte Webkonfiguration, Komponentenübersicht und konkrete Prüfhilfen. Prüfen Sie eingefügte Antwortheader auf CSP, HSTS, nosniff, Referrer- und Berechtigungsrichtlinien.
Für .env-Sicherheitsprüfer gilt folgende Grenze: Code wird nicht ausgeführt; kein Fund beweist nicht die Abwesenheit von Schwachstellen. Ist diese Bedingung nicht erfüllt, darf die Ausgabe nicht an den nächsten Arbeitsschritt übergeben werden.
Dokumentieren Sie für „Lokale Sicherheitsvorprüfung für .env, SQL und Unix-Rechte“ Werkzeug, Einstellung, Browserversion und den Abnahme- oder Ablehnungsgrund für „.env-Sicherheitsprüfer einsetzen, wenn das Ziel lautet: Format, Duplikate und Geheimnisrisiken prüfen, ohne Werte offenzulegen“ – nicht den sensiblen Inhalt. So bleibt die Prüfung ohne Echtdaten wiederholbar.