Solimansorks/Security-Incident-Audit-Report
GitHub: Solimansorks/Security-Incident-Audit-Report
一份针对API网关数据泄露攻击的专业事后安全审计报告，详细记录了事件检测、攻击溯源、遏制措施与数据库加固的全过程。
Stars: 0 | Forks: 0
# 🛡️ 安全事件与审计报告：API 数据泄露与数据库加固
**日期：** 2026年7月5日
**状态：** 已控制并确保安全 ✅
**严重级别：** 严重（缓解前）🔴 | 安全（缓解后）🟢
## 1. 威胁情报与攻击者痕迹
通过对 Web 服务器访问日志的严密分析，我们成功追踪到了攻击者的数字足迹及其行为：
### 📋 攻击者画像
| 参数 | 发现的数据 |
| :--- | :--- |
| **IP 地址** | `156.xx.xx.252` (ISP: Telecom Egypt - WE) |
| **来源国家** | 埃及 |
| **工具 / User-Agent** | `PostmanRuntime/7.49.1` (直接 API 测试工具) |
| **操作系统** | Linux (可能是用于渗透测试的 Kali Linux 发行版) |
### 🕒 时间线与事件序列
#### 1. 侦察与账户创建
* **时间戳：** `04/Jul/2026:22:53:31 +0300`
* **事件：** 攻击者注册了一个虚假的客户账户，以分析 session token 并调查社交登录集成（Google Auth）。
* **创建的账户详情：**
* **别名：** `An Vu`
* **邮箱：** `vuthianxovk80637@gmail.com`
* **用户 ID：** `6a4964bb11d5eb8a0e6289d9`
#### 2. 数据泄露
* **时间戳：** `04/Jul/2026:22:49:29 +0300`
* **目标 Endpoint：** `GET /api/customers?limit=7000`
* **事件：** 利用客户目录 API 上缺失的授权/认证 middleware，转储了客户数据库。
* **证据日志行：**
156.xx.xx.252 - - [04/Jul/2026:22:49:29 +0300] "GET /api/customers?limit=7000 HTTP/1.1" 200 946175 "-" "PostmanRuntime/7.49.1"
标签：API安全, JSON输出, StruQ, 安全助手, 安全响应, 防御加固