Який сором, розробник зберіг креди у файлі .git/config
доступ до файлу можна було отримати через
https://example.com/.git/config
Під час атаки на Pearson викритий токен дозволив зловмисникам отримати доступ до вихідного коду компанії, який містив додаткові жорстко закодовані облікові дані та токени автентифікації для хмарних платформ.
Мораль яка?
1. не використовувати статичні креди
2. веб сервер повинен блокувати всі скриті файли (файли з крапкою на початку імені: .env, .ini, .git)
3. документувати онбоардінг процеси, щоб не було "я зробив ось так і запрацювало"