Supabase Security

AWS Hacking सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks को समर्थन दें

• सदस्यता योजनाओं की जाँच करें!

• 💬 Discord समूह या telegram समूह में शामिल हों या हमें Twitter 🐦 पर फॉलो करें @hacktricks_live.**

• PRs सबमिट करके हैकिंग ट्रिक्स साझा करें HackTricks और HackTricks Cloud github repos.

Basic Information

उनके लैंडिंग पेज के अनुसार: Supabase एक ओपन सोर्स Firebase विकल्प है। अपने प्रोजेक्ट को एक Postgres डेटाबेस, Authentication, instant APIs, Edge Functions, Realtime subscriptions, Storage, और Vector embeddings के साथ शुरू करें।

Subdomain

मूल रूप से जब एक प्रोजेक्ट बनाया जाता है, तो उपयोगकर्ता को एक supabase.co सबडोमेन प्राप्त होगा जैसे: jnanozjdybtpqgcwhdiz.supabase.co

Database configuration

यह डेटा https://supabase.com/dashboard/project/<project-id>/settings/database जैसे लिंक से एक्सेस किया जा सकता है

यह डेटाबेस कुछ AWS क्षेत्र में तैनात किया जाएगा, और इससे कनेक्ट करने के लिए इसे कनेक्ट करना संभव होगा: postgres://postgres.jnanozjdybtpqgcwhdiz:[YOUR-PASSWORD]@aws-0-us-west-1.pooler.supabase.com:5432/postgres (यह us-west-1 में बनाया गया था)। पासवर्ड एक पासवर्ड है जो उपयोगकर्ता ने पहले डाला था।

इसलिए, चूंकि सबडोमेन ज्ञात है और इसे उपयोगकर्ता नाम के रूप में उपयोग किया जाता है और AWS क्षेत्र सीमित हैं, यह संभव हो सकता है कि पासवर्ड को ब्रूट फोर्स करने का प्रयास किया जाए।

इस अनुभाग में निम्नलिखित विकल्प भी शामिल हैं:

• डेटाबेस पासवर्ड रीसेट करें

• कनेक्शन पूलिंग कॉन्फ़िगर करें

• SSL कॉन्फ़िगर करें: प्लेन-टेक्स्ट कनेक्शनों को अस्वीकार करें (डिफ़ॉल्ट रूप से वे सक्षम हैं)

• डिस्क आकार कॉन्फ़िगर करें

• नेटवर्क प्रतिबंध और प्रतिबंध लागू करें

API Configuration

यह डेटा https://supabase.com/dashboard/project/<project-id>/settings/api जैसे लिंक से एक्सेस किया जा सकता है

आपके प्रोजेक्ट में supabase API तक पहुंचने के लिए URL इस प्रकार होगा: https://jnanozjdybtpqgcwhdiz.supabase.co.

anon api keys

यह एक anon API key (role: "anon") भी उत्पन्न करेगा, जैसे: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk जिसे एप्लिकेशन को API key से संपर्क करने के लिए उपयोग करने की आवश्यकता होगी जो हमारे उदाहरण में उजागर की गई है।

इस API से संपर्क करने के लिए API REST को docs में पाया जा सकता है, लेकिन सबसे दिलचस्प endpoints होंगे:

Signup (/auth/v1/signup)

``` POST /auth/v1/signup HTTP/2 Host: id.io.net Content-Length: 90 X-Client-Info: supabase-js-web/2.39.2 Sec-Ch-Ua: "Not-A.Brand";v="99", "Chromium";v="124" Sec-Ch-Ua-Mobile: ?0 Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36 Content-Type: application/json;charset=UTF-8 Apikey: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk Sec-Ch-Ua-Platform: "macOS" Accept: */* Origin: https://cloud.io.net Sec-Fetch-Site: same-site Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: https://cloud.io.net/ Accept-Encoding: gzip, deflate, br Accept-Language: en-GB,en-US;q=0.9,en;q=0.8 Priority: u=1, i

{"email":"[e-mail]","password":"SomeCOmplexPwd239."}

</details>

<details>

<summary>लॉगिन (/auth/v1/token?grant_type=password)</summary>

POST /auth/v1/token?grant_type=password HTTP/2 Host: hypzbtgspjkludjcnjxl.supabase.co Content-Length: 80 X-Client-Info: supabase-js-web/2.39.2 Sec-Ch-Ua: "Not-A.Brand";v="99", "Chromium";v="124" Sec-Ch-Ua-Mobile: ?0 Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.6367.60 Safari/537.36 Content-Type: application/json;charset=UTF-8 Apikey: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6ImFub24iLCJpYXQiOjE3MTQ5OTI3MTksImV4cCI6MjAzMDU2ODcxOX0.sRN0iMGM5J741pXav7UxeChyqBE9_Z-T0tLA9Zehvqk Sec-Ch-Ua-Platform: "macOS" Accept: / Origin: https://cloud.io.net Sec-Fetch-Site: same-site Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: https://cloud.io.net/ Accept-Encoding: gzip, deflate, br Accept-Language: en-GB,en-US;q=0.9,en;q=0.8 Priority: u=1, i

{"email":"[e-mail]","password":"SomeCOmplexPwd239."}

</details>

इसलिए, जब भी आप किसी क्लाइंट को उनके दिए गए सबडोमेन के साथ supabase का उपयोग करते हुए पाते हैं (यह संभव है कि कंपनी के सबडोमेन में उनके supabase सबडोमेन पर एक CNAME हो), तो आप **supabase API का उपयोग करके प्लेटफ़ॉर्म में एक नया खाता बनाने का प्रयास कर सकते हैं**।

### secret / service\_role api keys

एक secret API key भी उत्पन्न होगी **`role: "service_role"`** के साथ। यह API key secret होनी चाहिए क्योंकि यह **Row Level Security** को बायपास करने में सक्षम होगी।

API key इस प्रकार दिखती है: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImpuYW5vemRyb2J0cHFnY3doZGl6Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTcxNDk5MjcxOSwiZXhwIjoyMDMwNTY4NzE5fQ.0a8fHGp3N_GiPq0y0dwfs06ywd-zhTwsm486Tha7354`

### JWT Secret

एक **JWT Secret** भी उत्पन्न होगी ताकि एप्लिकेशन **कस्टम JWT टोकन बना और साइन कर सके**।

## Authentication

### Signups

<div data-gb-custom-block data-tag="hint" data-style='success'>

**डिफ़ॉल्ट** रूप से supabase **नए उपयोगकर्ताओं को आपके प्रोजेक्ट पर खाते बनाने की अनुमति देगा** पहले बताए गए API endpoints का उपयोग करके।

</div>

हालांकि, ये नए खाते, डिफ़ॉल्ट रूप से, **अपने ईमेल पते को सत्यापित करने की आवश्यकता होगी** ताकि वे खाते में लॉगिन कर सकें। **"Allow anonymous sign-ins"** को सक्षम करना संभव है ताकि लोग बिना अपने ईमेल पते को सत्यापित किए लॉगिन कर सकें। यह **अप्रत्याशित डेटा** तक पहुंच प्रदान कर सकता है (उन्हें `public` और `authenticated` roles मिलते हैं)।\
यह एक बहुत बुरा विचार है क्योंकि supabase प्रति सक्रिय उपयोगकर्ता चार्ज करता है इसलिए लोग उपयोगकर्ता बना सकते हैं और लॉगिन कर सकते हैं और supabase उन पर चार्ज करेगा:

<figure><img src="../.gitbook/assets/image (1) (1).png" alt=""><figcaption></figcaption></figure>

### Passwords & sessions

न्यूनतम पासवर्ड लंबाई (डिफ़ॉल्ट रूप से), आवश्यकताएँ (डिफ़ॉल्ट रूप से नहीं) और लीक पासवर्ड का उपयोग न करने की अनुमति देना संभव है।\
**आवश्यकताओं को सुधारने की सिफारिश की जाती है क्योंकि डिफ़ॉल्ट वाले कमजोर हैं**।

* उपयोगकर्ता सत्र: यह संभव है कि उपयोगकर्ता सत्र कैसे काम करते हैं (टाइमआउट, प्रति उपयोगकर्ता 1 सत्र...) को कॉन्फ़िगर करें
* बॉट और दुरुपयोग सुरक्षा: Captcha को सक्षम करना संभव है।

### SMTP Settings

ईमेल भेजने के लिए एक SMTP सेट करना संभव है।

### Advanced Settings

* एक्सेस टोकन की समाप्ति समय सेट करें (डिफ़ॉल्ट रूप से 3600)
* संभावित रूप से समझौता किए गए रिफ्रेश टोकन का पता लगाने और रद्द करने के लिए सेट करें और टाइमआउट
* MFA: प्रति उपयोगकर्ता एक बार में कितने MFA कारक नामांकित किए जा सकते हैं, यह इंगित करें (डिफ़ॉल्ट रूप से 10)
* अधिकतम डायरेक्ट डेटाबेस कनेक्शन: अधिकतम कनेक्शन की संख्या जो ऑथ के लिए उपयोग की जाती है (डिफ़ॉल्ट रूप से 10)
* अधिकतम अनुरोध अवधि: एक ऑथ अनुरोध के लिए अधिकतम समय की अनुमति (डिफ़ॉल्ट रूप से 10s)

## Storage

<div data-gb-custom-block data-tag="hint" data-style='success'>

Supabase **फाइलों को स्टोर करने** और उन्हें एक URL के माध्यम से सुलभ बनाने की अनुमति देता है (यह S3 बकेट्स का उपयोग करता है)।

</div>

* अपलोड फाइल साइज लिमिट सेट करें (डिफ़ॉल्ट 50MB है)
* S3 कनेक्शन एक URL के साथ दिया गया है जैसे: `https://jnanozjdybtpqgcwhdiz.supabase.co/storage/v1/s3`
* यह **S3 एक्सेस key** का अनुरोध करना संभव है जो एक `access key ID` (उदा. `a37d96544d82ba90057e0e06131d0a7b`) और एक `secret access key` (उदा. `58420818223133077c2cec6712a4f909aec93b4daeedae205aa8e30d5a860628`) से बनते हैं

## Edge Functions

यह संभव है कि supabase में **secrets को स्टोर करें** जो **edge functions द्वारा सुलभ होंगे** (वे वेब से बनाए और हटाए जा सकते हैं, लेकिन उनके मूल्य को सीधे एक्सेस करना संभव नहीं है)।

<div data-gb-custom-block data-tag="hint" data-style='success'>

AWS Hacking सीखें और अभ्यास करें:<img src="/.gitbook/assets/image.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/image.png" alt="" data-size="line">\
GCP Hacking सीखें और अभ्यास करें: <img src="/.gitbook/assets/image (2).png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/image (2).png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>HackTricks को सपोर्ट करें</summary>

* [**सब्सक्रिप्शन प्लान्स**](https://github.com/sponsors/carlospolop) देखें!
* 💬 [**Discord ग्रुप**](https://discord.gg/hRep4RUj7f) या [**telegram ग्रुप**](https://t.me/peass) में शामिल हों या हमें **Twitter** 🐦 पर फॉलो करें [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **हैकिंग ट्रिक्स को साझा करें** [**HackTricks**](https://github.com/carlospolop/hacktricks) और [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos में PRs सबमिट करके।

</details>

</div>