Cara semakan formexposed berfungsi: pasif, telus dan menghormati laman

Apabila anda memasukkan domain dalam semakan percuma di formexposed.com, pengimbas melawat laman web itu dan kembali dengan laporan. Artikel ini menerangkan apa yang berlaku di antaranya: apa yang dimuatkan oleh pengimbas, apa yang dilihatnya, apa yang sengaja tidak dilakukannya dan mengapa sesetengah butiran hanya muncul setelah anda membuktikan bahawa domain itu milik anda.

Daripada domain kepada laporan

Pengimbas memuatkan halaman awam laman seperti yang dilakukan oleh pelayar, termasuk skrip yang berjalan padanya. Ini penting kerana banyak borang, gajet CAPTCHA, sepanduk kuki dan tag penjejakan hanya ditambahkan oleh JavaScript selepas halaman dimuatkan; melihat HTML mentah sahaja akan terlepas perkara tersebut. Pada halaman itu, pengimbas mencari borang dan menyusun setiap satu mengikut tujuan — borang hubungan, pendaftaran surat berita, log masuk dan sebagainya. Pengelasan meletakkan dapatan dalam konteks: kotak surat berita mempunyai keperluan berbeza daripada borang hubungan yang menghantar mesej terus ke peti masuk seseorang.

Apa yang dilihat oleh pengimbas

• Perlindungan spam dan penyalahgunaan: sama ada terdapat CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, captcha matematik atau imej tersuai, atau perkhidmatan antispam pada pelayan) dan sama ada ia dikonfigurasikan dengan berkesan — kunci laman ujian awam atau gajet tanpa skripnya tidak melindungi apa-apa. Juga medan perangkap, token CSRF dan perangkap masa.
• Persekitaran: gabungan CMS dan pemalam yang diketahui mempunyai kerentanan, sama ada borang menghantar kepada perkhidmatan pihak ketiga dan sama ada WAF atau CDN berada di hadapan laman.
• Isyarat GDPR: pautan dasar privasi pada borang, sama ada menolak sepanduk kuki benar-benar menghentikan penjejakan, piksel iklan atau penjejakan yang dicetuskan pada halaman borang, alat main semula sesi yang mungkin merakam apa yang ditaip orang, serta alamat e-mel penerima yang kelihatan dalam sumber halaman.
• Isyarat kebolehcapaian: semakan axe-core pada borang (label, mesej ralat, kontras dan lain-lain), sama ada CAPTCHA mesra kebolehcapaian, medan perangkap yang diumumkan oleh pembaca skrin dan cara borang berfungsi pada telefon — sasaran ketikan, tindihan yang menutupi butang hantar, penatalan mendatar.

Pasif, telus dan menghormati laman

Semakan tanpa nama adalah pasif. Pengimbas membaca halaman; ia tidak mengisi medan, tidak menghantar walaupun satu borang dan tidak cuba log masuk di mana-mana. Tiada siapa menerima mesej ujian dan tiada apa-apa masuk ke peti masuk atau pangkalan data laman. Ia juga bertindak seperti pelawat yang bersopan: membaca robots.txt dan mematuhinya, serta mengenal pasti dirinya sebagai FormExposedBot dan bukannya berpura-pura menjadi pelayar biasa. Sesiapa yang menemui nama itu dalam log pelayan boleh merujuk formexposed.com/bot, yang menerangkan apa yang dilakukan oleh bot.

Dilindungi, dilindungi sebahagiannya, terdedah

• Dilindungi: borang yang ditemui mempunyai perlindungan yang kelihatan berkesan, tanpa jurang ketara yang dapat dilihat dari luar.
• Dilindungi sebahagiannya: perlindungan ada tetapi mempunyai jurang — contohnya CAPTCHA yang berjalan dengan kunci ujian, atau satu borang dilindungi dan satu lagi tidak.
• Terdedah: borang tidak mempunyai perlindungan yang dapat dikesan atau menunjukkan kelemahan yang memudahkan penyalahgunaan.

Tahap ini merumuskan apa yang dapat dilihat dari luar; ia bukan jaminan dalam mana-mana arah. Laporan daripada semakan tanpa nama sengaja berjangka pendek dan tidak diindeks oleh enjin carian. Oleh sebab sesiapa boleh memasukkan sebarang domain, laporan itu tidak menyertakan butiran kerentanan: laporan menunjukkan bahawa sesuatu memerlukan perhatian tetapi tidak menunjukkan titik lemah tepat yang boleh digunakan penyerang. Butiran itu hanya ditunjukkan kepada pemilik domain yang disahkan.

Apa yang berubah dengan domain disahkan

Dua daripadanya wajar diteliti. Semakan aktif dimatikan melainkan anda menghidupkannya, dan hanya tersedia untuk domain yang telah anda sahkan. Pengimbas kemudian menghantar beberapa penghantaran ujian yang ditandakan dengan jelas supaya anda dan pasukan dapat mengenalinya. Bersama semakan penghantaran e-mel, ini menjawab soalan yang tidak dapat dijawab oleh imbasan pasif: adakah mesej yang dihantar melalui borang benar-benar tiba? Pemantauan pula dibina untuk kekal senyap. Anda menerima amaran — melalui e-mel, webhook, Slack, Discord, Telegram atau Google Chat — hanya apabila sesuatu berubah, contohnya CAPTCHA hilang selepas kemas kini atau piksel penjejakan baharu muncul pada halaman hubungan.

Jika anda mahu melihat apa yang dilihat oleh pengimbas, mulakan dengan semakan percuma di formexposed.com: masukkan domain dan baca laporan. Jika laman itu milik anda dan anda mahukan butiran, pemantauan berkala dan semakan penghantaran e-mel, sahkan domain dalam akaun.