泄露凭据线索的正确处理
评估中可能从公开渠道发现疑似泄露的凭据线索，例如公开粘贴内容提及目标企业邮箱、代码仓库中包含疑似可用的访问密钥。这类线索的价值在于提醒客户处置，而不是供测试方验证——用泄露的凭据登录系统属于未授权访问，即使凭据来自客户自己的公开资料也不能例外。
基本信息
| 发现渠道 | 公开检索结果、代码仓库、公开文档与粘贴内容 |
|---|---|
| 处理动作 | 记录来源与发现时间，同步客户安全负责人 |
| 纪律要求 | 不做登录尝试，不扩散内容，不写入报告正文 |
| 记录方式 | 线索类型与来源存档，凭据本身不打全 |
| 后续跟踪 | 确认客户已完成轮换与清理 |
典型使用场景
- 公开检索中发现带企业域名邮箱的账号线索
- 代码仓库中发现疑似可用的访问密钥
- 公开文档与分享页面中发现内部系统地址与凭据占位
- 第三方平台上的历史粘贴内容提及目标系统
- 为客户整理外部暴露线索清单并跟踪处置
处置记录示例
处置记录示例
# 线索类型：疑似访问密钥（已打码，只保留前后各两位）
# 来源：公开检索结果（已存档截图与链接，仅内部留存）
# 发现时间：记录精确到分钟
# 动作：已同步客户安全负责人（附通报时间与接收人）
# 跟踪：确认密钥是否完成轮换（客户回复留档）线索类型读法
| 线索类型 | 处置优先级 | 客户侧动作 |
|---|---|---|
| 访问密钥 | 高 | 立即轮换并清理暴露位置 |
| 账号邮箱线索 | 中 | 纳入监控，排查是否伴随口令泄露 |
| 内部地址 | 低到中 | 评估是否仍在使用与影响面 |
| 占位符与示例值 | 低 | 确认非真实凭据后标注为误报 |
用泄露凭据去登录属于未授权访问：发现即移交，由客户决定如何处置。
不要把完整凭据写入报告或聊天记录：报告可能被多人传阅，写入即等于二次泄露。