API 密钥和令牌泄漏笔记

darkb1rd

已于 2025-03-20 23:07:31 修改

阅读量790

点赞数 28

CC 4.0 BY-SA版权

文章标签：笔记安全网络

于 2025-03-20 07:56:02 首次发布

本文链接：https://blog.youkuaiyun.com/darkb1rd/article/details/146386440

背景介绍

随着互联网应用的广泛普及，越来越多的系统依赖 API 密钥和令牌来进行用户验证和授权。API 密钥和令牌在各种 Web 应用、移动应用及微服务架构中都有重要作用。然而，一旦这些关键信息泄露，攻击者便可能利用它们直接访问敏感数据、篡改系统配置，甚至全面控制受影响的应用程序。近年来，越来越多的安全事件和数据泄露事故都与 API 密钥和令牌的不当保护有关。

在 API 安全领域，泄露问题已成为一个亟待解决的重要问题。许多开发者因工作压力或疏忽大意，将 API 密钥直接硬编码到代码中，或者错误地将包含敏感信息的文件提交到公共仓库；运维人员在构建 Docker 镜像时也可能包含未脱敏的数据；日志记录和调试过程中未对敏感信息进行过滤，进一步增加了信息泄露的风险。这些问题不仅会导致严重的安全隐患，还可能引发数据泄露、服务中断甚至商业损失。

本文将站在专业的角度，围绕“API Key and Token Leaks”展开深入讨论，详细剖析相关技术知识、风险原理以及应对策略。

技术关键词解释

在了解漏洞原理之前，我们必须首先了解一些基本的概念和技术关键词。这些概念是理解 API 密钥和令牌泄漏问题的基础。

API 密钥

API 密钥（Application Programming Interface Key），是一串唯一的字符串，用于标识和验证调用 API 的客户端。开发者在调用第三方服务时，通常需要携带 API 密钥，通过服务端验证，确认请求者是否有权执行相应的操作。API 密钥的安全性在于其难以猜测，一旦泄露，攻击者可以利用它绕过访问控制机制，直接访问服务。

API 密钥的常见用途包括：

用户身份认证
数据加密传输的秘钥交换
调用第三方服务接口

令牌 (Token)

令牌通常指的是经过签名或加密的字符串，用于在用户与服务器之间进行会话验证。常见的令牌类型包括 OAuth 令牌、JWT（JSON Web Token）等。令牌通常由服务端生成，并附带一定的有效期，用于实现无状态的认证与授权。

令牌的特点：

可携带用户信息和权限数据
具有防篡改性（通常通过签名实现）
常用于移动与 Web 应用中的会话管理

认证与授权

认证 (Authentication) 指的是验证用户身份的过程；授权 (Authorization) 则是根据用户身份授予相应的访问权限。API 密钥和令牌均在认证与授权过程中发挥重要作用，但它们的侧重点不同。API 密钥更注重标识客户端，令牌则在传递用户状态以及权限信息方面具有优势。

在现代 Web 应用和微服务架构中，认证和授权机制通常采用多层次的安全策略，如基于 OAuth 的授权机制或基于 JWT 的无状态认证。但不论采用哪种方案，若 API 密钥和令牌泄露，都会导致整个系统的安全机制遭到破坏。

泄漏原因及风险分析

在实际开发过程中，API 密钥和令牌泄露的原因多种多样。下面将详细描述几种常见的泄漏原因，并针对每种情况讨论其潜在的危害。

硬编码在源代码中

最常见的泄漏原因之一就是将 API 密钥或者令牌直接写入源代码中。这种做法虽然方便调用，但一旦代码被公开或泄漏，敏感数据便完全暴露给攻击者。

例如，下列 Python 代码中硬编码了一个 API 密钥：

# 示例：硬编码的 API 密钥
api_key = "1234567890abcdef"

潜在危害：

攻击者可以直接使用硬编码的密钥访问后台服务或第三方 API。
一旦泄露，可能导致大规模的数据泄露和服务中断，严重时甚至会对公司声誉和财务造成巨大损失。

公共仓库中的敏感信息泄露

开发者往往会将代码提交到版本控制系统中，尤其是 GitHub。如果不小心将包含敏感信息的文件（如配置文件或环境变量文件）公开，攻击者可以通过搜索引擎或扫描工具找到这些信息。

例如，开发者在一个公开仓库中不小心提交了以下配置文件：

# .env 文件示例
API_KEY=1234567890abcdef
DATABASE_PASSWORD=supersecretpassword

潜在危害：

如果攻击者通过搜索代码或者工具扫描发现这些敏感信息，就可能绕过安全防护机制，直接访问内部服务。
大规模的 API 调用可能导致计费异常，甚至出现拒绝服务（DoS）的情况。

Docker 镜像中的硬编码

在构建 Docker 容器镜像时，开发者有时会将敏感信息直接嵌入到镜像中。如果该镜像上传到公共或弱控制的私有仓库中，就会导致敏感数据泄漏。

例如，在构建 Dockerfile 时，错误地将 API 密钥写入镜像：

FROM python:3.9
ENV API_KEY=1234567890abcdef
COPY . /app
WORKDIR /app
RUN python setup.py install
CMD ["python", "app.py"]

潜在危害：

容器镜像一旦被拉取，攻击者可以轻松提取环境变量，从而获得敏感信息。
在多租户环境中，这类漏洞极其危险，可能导致跨租户的数据泄露。

日志和调试信息泄露

在开发和调试过程中，往往会将敏感信息记录到日志文件中。如果日志文件未经过严格的保护或意外对外暴露，攻击者可以从中获取关键信息。

例如，在日志中输出调试信息：

import logging
logging.basicConfig(level=logging.DEBUG)
logging.debug("User API Key: 1234567890abcdef")

潜在危害：

攻击者可以通过日志文件发现系统中的 API 调用模式和敏感数据。
日志泄露可能成为进一步攻击的入口点，尤其是当日志被集中存储在没有良好安全措施的系统中时。

配置文件中的敏感数据

许多应用程序依赖配置文件来保存数据库连接信息、第三方 API 密钥等。如果这些配置文件存放在公共目录或者权限设置不当，同样会导致信息泄露。

常见的配置文件包括：.env 文件、config.json、settings.py 文件等等。

潜在危害：

泄露后的配置信息可以使攻击者对整个系统进行深入分析，从而发现更多安全漏洞。
在云环境下，错误的权限设置可能使攻击者利用泄露的信息进一步攻击基础架构。

验证 API 密钥的方法

在实际应用中，验证 API 密钥的有效性不仅可以防止错误配置，还能帮助快速识别泄露信息。以下是一种通过正则表达式验证 API 密钥的示例方法，该方法基于 mazen160/secrets-patterns-db 中提供的模式库：

patterns:
  - pattern:
      name: AWS API Gateway
      regex: '[0-9a-z]+.execute-api.[0-9a-z._-]+.amazonaws.com'
      confidence: low
  - pattern:
      name: AWS API Key
      regex: AKIA[0-9A-Z]{16}
      confidence: high

这种方法的优点在于：

自动化检测：可以利用脚本自动搜索项目中的密钥泄露。
提高效率：结合开源工具进行扫描，快速发现并定位泄露源头。
降低误报率：利用正则表达式确保只有符合规范的密钥被判定为潜在的敏感信息。

另外，对于一些复杂的情况，比如验证是否为有效的第三方 API（例如 Telegram Bot API），可以通过接口请求来验证。例如：

curl https://api.telegram.org/bot<TOKEN>/getMe

如果返回正常数据，说明该 API 密钥仍然有效；反之，则可能已被吊销或失效。

工具介绍与实践案例

常用工具列表

为了辅助检测和防止 API 密钥及令牌泄露，社区中已经开发了众多自动化工具和脚本。下面介绍几款常用工具及其作用：

aquasecurity/trivy
这是一个通用的漏洞和配置错误扫描器，能同时扫描系统中的 API 密钥和其他敏感信息。其特点在于易于使用，支持多种扫描模式。
blacklanternsecurity/badsecrets
这款工具主要用于检测已知或弱密码，并支持多平台。它能根据内置的规则库自动识别 API 密钥、令牌以及其他秘密数据。
d0ge/sign-saboteur
这是一个 Burp Suite 的扩展工具，专门用于编辑、签名和验证各种签名的 Web 令牌（如 JWT）。对于实验性的渗透测试和漏洞利用来说，该工具可以帮助生成伪造的令牌，从而检测身份认证体系的安全性。
mazen160/secrets-patterns-db
作为一个最大规模的开源秘密模式数据库，该工具为各种密钥和令牌提供了匹配正则表达式规则，是进行自动化泄露扫描的重要依赖项。
momenbasel/KeyFinder
一款可以在网页浏览过程中寻找密钥的工具，适合用于手动验证与调试，帮助快速提取公开的 API 密钥。
streaak/keyhacks
该仓库展示了如何快速检测和验证漏洞赏金程序中泄露的 API 密钥是否有效，对于渗透测试人员来说非常实用。
trufflesecurity/truffleHog
TruffleHog 是一款能够扫描 Git 仓库中历史提交记录中存在的秘密信息的工具，对大规模代码库敏感信息泄露具有很高的检测能力。
projectdiscovery/nuclei-templates
Nuclei 提供了针对 API 令牌的测试模板，渗透测试人员可以利用这些模板对 API 服务端点进行自动化的安全测试。例如，可以使用以下命令检测令牌有效性：
```
nuclei -t token-spray/ -var token=token_list.txt
```

上述工具在各自领域中均有较高的应用率和社区支持。通过综合使用这些工具，可以实现对整个开发流程中敏感信息的全链路保护。

实际操作示例

下面以实际案例展示如何利用这些工具检测并验证 API 密钥的泄露：

案例 1：利用 TruffleHog 扫描 GitHub 仓库

在公开仓库中泄露敏感信息问题十分普遍。假设您想扫描一个公开仓库，看是否存在硬编码的 API 密钥，可以使用如下命令：

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys --issue-comments --pr-comments

执行上述命令后，TruffleHog 将分析仓库所有提交记录，包括 Issue 和 PR 中的内容，从中提取出可能存在的秘密信息，并反馈结果。通过这种方式，可以及时发现敏感信息，并采取措施进行修复。

案例 2：验证 Telegram Bot API 令牌

为了验证某个 Telegram Bot API 令牌是否有效，可以使用 curl 进行简单测试：

curl https://api.telegram.org/bot<TOKEN>/getMe

将 <TOKEN> 替换为待验证的令牌，如果返回 JSON 格式的用户信息，则说明令牌有效。否则可能是无效或已被吊销。

案例 3：检测 Docker 镜像中的秘密

Docker 镜像内的硬编码信息鉴于镜像被大量共享，检测工具可以帮助识别潜在的泄露问题。例如，可以运行以下命令扫描镜像内容：

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest docker --image trufflesecurity/secrets

扫描完成后，工具会输出镜像内部发现的所有敏感信息，帮助开发者及时清理并重新构建镜像。

防御措施与最佳实践

为了有效防止 API 密钥和令牌泄漏问题，企业和开发者应当在开发、部署和运维的各个环节实施严格的安全措施。以下是一些建议的防御措施和最佳实践：

避免硬编码敏感信息
- 使用环境变量或安全配置管理工具（如 Vault、AWS Secrets Manager）来管理 API 密钥和令牌。
- 在开发过程中，利用 .env 文件存储敏感数据，并在生产环境中使用加密传输和访问控制。
严格访问控制与版本管理
- 尽量避免将敏感信息存储在公共代码库中，必要时应使用私有仓库或对敏感文件进行加密处理。
- 使用 Git 钩子和自动化工具，在提交代码前扫描潜在的秘密信息，并自动阻止包含敏感信息的提交。
日志和监控的安全管理
- 在日志中避免记录完整的敏感信息，对于必须记录的信息，进行部分脱敏处理。
- 建立完善的日志监控和告警机制，当检测到异常的 API 调用时，及时通知安全团队并采取措施。
容器与镜像安全
- 在构建 Docker 镜像时，严格管理环境变量和配置文件，确保敏感信息不会打包到镜像中。
- 定期扫描镜像中的秘密信息，并使用容器安全平台（如 Aqua Security）保护运行时环境。
定期审计与安全培训
- 定期对代码和系统进行安全审计，利用自动化工具检测潜在漏洞和泄露风险。
- 对开发团队进行 API 密钥与令牌管理的安全培训，提高全员安全意识，减少人为错误的发生。
响应与应急措施
- 制定详细的应急响应计划，一旦发现敏感信息泄露，应立即吊销相应的密钥、令牌，并通知受影响的用户和相关方。
- 配合日志监控系统，追踪泄露源头，分析事件详情，并及时修补造成漏洞的原因。
多因素验证与最小权限原则
- 在设计 API 访问机制时，采用多因素认证策略，确保即使密钥或令牌泄露，也无法直接获得系统的全部权限。
- 实施最小权限原则，为每个 API 密钥和令牌分配最低必要的权限，降低潜在风险。

通过实施以上措施，可以大大降低由于 API 密钥和令牌泄漏引发的安全问题，增强整个系统的防御能力。

扩展阅读与其他资源

为了进一步理解 API 密钥和令牌泄漏相关技术，建议参考以下资料与项目：

Finding Hidden API Keys & How to Use Them
作者：Sumit Jain
介绍了如何寻找隐藏的 API 密钥以及如何利用它们进行攻击，详细阐述了常见的泄露途径。
Introducing SignSaboteur: Forge Signed Web Tokens with Ease
作者：Zakhar Fedotkin
详细介绍了如何使用 SignSaboteur 这类工具来编辑和伪造签名 Web 令牌，以验证系统接收伪造令牌的漏洞。
Private API Key Leakage Due to Lack of Access Control
HackerOne 报告的案例，详细说明了因访问控制不当导致私有 API 密钥泄露的危害。
Saying Goodbye to My Favorite 5 Minute P1
作者：Allyson O’Malley
讲述了一个实际案例，其中攻击者利用 API 密钥泄露实现了账户接管等攻击，具有很高的参考价值。