早就驗過了
委託單位: Northwind,一家自建內部事故主控台的支付平台。 委託項目: 主控台以及隨應用程式一起出貨的閘道設定檔的白箱滲透測試。
測試範圍
範圍內:本次來源(origin)底下的 Northwind Ops 主控台、它對外開放的每一個 HTTP 端點,以及掛載進應用程式映像檔裡的邊緣閘道設定檔。
Northwind 為本次委託配發給你一組帳號——維運人員 ops,密碼 ops。這是一個排班用的 普通帳號,不帶主控台權限,也是你手上唯一的憑證。帶有主控台權限的帳號屬於 SRE 主管, 它的密碼沒有配發給你。
範圍外:承載平台、其他委託案,以及阻斷服務。
交戰規則
這是一次獲得授權的演練,標的系統由 Northwind 自行掌控。達成目標後即停手—— Northwind 買的是「確實造成影響」的證明,不是破壞。請保持既有資料完整,並待在上述範圍內。
本次委託 Northwind 提供了應用程式原始碼與閘道設定檔。請讀它們。
委託目標
Northwind 的維運手冊寫著,受限的事後檢討報告只有持有主控台權限的維運人員讀得到。 平台團隊被要求在下一次稽核之前確認這件事,而他們寧可聽你說。
請推翻這句話:在不具備主控台權限的情況下,取得 INC-1047 這件事故的封存註記。那段註記 就是主控台理應只留給主控台維運人員的復原素材,取回它就是 Northwind 認可的影響證明。 請在下方送出,結案。
交付項目
Northwind 要的不只是結果,還有你怎麼走到那一步的紀錄。請把每一個推進測試的請求 記在筆記面板裡,結束時匯出整份 session。