| 检索面 | 配置、脚本、部署文件、版本库 |
|---|---|
| 线索 | password/key/token 类字段与连接串 |
| 处置 | 轮换 + 密钥管理服务 + 清理历史 |
检索示例
检索示例
grep -rIn --include='*.conf' --include='*.sh' -E 'password|passwd|secret|token' /opt/apps 2>/dev/null | head -50
# 只统计命中位置与类型；取值不回显、不记录发现真实凭据的处置优先级高于报告：先通报客户轮换，再做彻底清理。
配置与脚本中的凭据检查
文件系统与代码库中的硬编码凭据是横向移动的高价值目标：检索配置文件、脚本与历史提交中的凭据痕迹。
易错点
- 把凭据取值写入报告或聊天记录
- 只清理当前分支，历史提交仍可检索
数据来源与参考
- OWASP Secrets Management Cheat Sheet
- CWE-798（硬编码凭据）