注册 (/auth/v1/signup)``` POST /auth/v1/signup HTTP/2 Host: id.io.net Content-Length: 90 X-Client-Info: supabase-js-web/2.39.2 Sec-Ch-Ua: "Not-A.Brand";v="99", "Chromium";v="124" Sec-Ch-Ua-Mobile: ?0 Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36 Content-Type: application/json;charset=UTF-8 Apikey: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk Sec-Ch-Ua-Platform: "macOS" Accept: */* Origin: https://cloud.io.net Sec-Fetch-Site: same-site Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: https://cloud.io.net/ Accept-Encoding: gzip, deflate, br Accept-Language: en-GB,en-US;q=0.9,en;q=0.8 Priority: u=1, i
{"email":"test@exmaple.com","password":"SomeCOmplexPwd239."}
Copy </details>
<details>
<summary>Login (/auth/v1/token?grant_type=password)</summary>
POST /auth/v1/token?grant_type=password HTTP/2 Host: hypzbtgspjkludjcnjxl.supabase.co Content-Length: 80 X-Client-Info: supabase-js-web/2.39.2 Sec-Ch-Ua: "Not-A.Brand";v="99", "Chromium";v="124" Sec-Ch-Ua-Mobile: ?0 Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36 Content-Type: application/json;charset=UTF-8 Apikey: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk Sec-Ch-Ua-Platform: "macOS" Accept: / Origin: https://cloud.io.net Sec-Fetch-Site: same-site Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: https://cloud.io.net/ Accept-Encoding: gzip, deflate, br Accept-Language: en-GB,en-US;q=0.9,en;q=0.8 Priority: u=1, i
{"email":"test@exmaple.com","password":"SomeCOmplexPwd239."}
Copy </details>
所以,每当你发现一个客户使用supabase并且使用了他们被授予的子域名(有可能公司的一个子域名在他们的supabase子域名上有一个CNAME),你可以尝试**使用supabase API在平台上创建一个新账户**。
### secret / service\_role api keys
一个带有**`role: "service_role"`**的secret API key也会被生成。这个API key应该是保密的,因为它能够绕过**行级安全**。
API key看起来像这样:`eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTcxNDk5MjcxOSwiZXhwIjoyMDMwNTY4NzE5fQ.0a8fHGp3N_GiPq0y0dwfs06ywd-zhTwsm486Tha7354`
### JWT Secret
一个**JWT Secret**也会被生成,以便应用程序可以**创建和签署自定义JWT令牌**。
## Authentication
### Signups
<div data-gb-custom-block data-tag="hint" data-style='success'>
默认情况下,supabase将允许**新用户通过使用前面提到的API端点在你的项目中创建账户**。
</div>
然而,这些新账户默认情况下**需要验证他们的电子邮件地址**才能登录账户。可以启用**“允许匿名登录”**,以允许人们在不验证电子邮件地址的情况下登录。这可能会授予访问**意外数据**的权限(他们获得`public`和`authenticated`角色)。\
这是一个非常糟糕的主意,因为supabase按活跃用户收费,所以人们可以创建用户并登录,supabase会为这些用户收费:
<figure><img src="../.gitbook/assets/image (1) (1).png" alt=""><figcaption></figcaption></figure>
### Passwords & sessions
可以指示最小密码长度(默认),要求(默认没有)并禁止使用泄露的密码。\
建议**提高要求,因为默认要求很弱**。
* 用户会话:可以配置用户会话的工作方式(超时,每个用户一个会话...)
* 机器人和滥用保护:可以启用Captcha。
### SMTP Settings
可以设置SMTP来发送电子邮件。
### Advanced Settings
* 设置访问令牌的过期时间(默认3600秒)
* 设置检测和撤销可能被泄露的刷新令牌和超时
* MFA:指示每个用户一次可以注册多少个MFA因素(默认10个)
* 最大直接数据库连接数:用于认证的最大连接数(默认10个)
* 最大请求持续时间:允许的Auth请求持续的最长时间(默认10秒)
## Storage
<div data-gb-custom-block data-tag="hint" data-style='success'>
Supabase允许**存储文件**并通过URL使其可访问(它使用S3桶)。
</div>
* 设置上传文件大小限制(默认是50MB)
* S3连接通过一个URL提供,例如:`https://jnanozjdybtpqgcwhdiz.supabase.co/storage/v1/s3`
* 可以**请求S3访问密钥**,由一个`access key ID`(例如`a37d96544d82ba90057e0e06131d0a7b`)和一个`secret access key`(例如`58420818223133077c2cec6712a4f909aec93b4daeedae205aa8e30d5a860628`)组成
## Edge Functions
也可以在supabase中**存储秘密**,这些秘密将**由edge functions访问**(可以从网页创建和删除,但不能直接访问它们的值)。
<div data-gb-custom-block data-tag="hint" data-style='success'>
学习和实践AWS Hacking:<img src="/.gitbook/assets/image.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/image.png" alt="" data-size="line">\
学习和实践GCP Hacking:<img src="/.gitbook/assets/image (2).png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/image (2).png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
<details>
<summary>支持HackTricks</summary>
* 查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* **加入** 💬 [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**。**
* **通过提交PR到** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **github仓库来分享黑客技巧**。
</details>
</div>