openWB Forum

Verfasst: **Mo Feb 24, 2025 12:35 pm**

rleidner hat geschrieben: ↑Mo Feb 24, 2025 12:25 pm Temporär abschalten wäre hilfreich.
Bei JWT Token würde das Extrahieren funktionieren, aber viele Token, die im Kontext der SoC-Module vorkommen, sind keine JWT. Da geht es primär darum, ob ein früher gelieferter Token bei Verwendung noch gleich ist.

Würde ein Hash des Tokens helfen um Gleichheit zu prüfen?

Verfasst: **Mo Feb 24, 2025 5:09 pm**

mrinas hat geschrieben: ↑Mo Feb 24, 2025 12:35 pm
rleidner hat geschrieben: ↑Mo Feb 24, 2025 12:25 pm Temporär abschalten wäre hilfreich.
Bei JWT Token würde das Extrahieren funktionieren, aber viele Token, die im Kontext der SoC-Module vorkommen, sind keine JWT. Da geht es primär darum, ob ein früher gelieferter Token bei Verwendung noch gleich ist.
Würde ein Hash des Tokens helfen um Gleichheit zu prüfen?

An den Hash-Vergleich hatte ich auch schon gedacht, wäre aber für den User schwieriger nachzuvollziehen.

Ideal wäre es, wenn die sensitive Daten in den logs unverändert bleiben, solange diese in der WB liegen und erst beim "Export" bzw. Speichern optional aufbereitet werden.

Verfasst: **Mo Feb 24, 2025 5:14 pm**

Dann doch lieber ein Funktion um die Entfernung der sensiblen Daten temporär abzuschalten. Das ist sauberer als die sensiblen Daten doch in den Logs zu haben und zu versuchen die beim Abruf dynamisch zu entfernen.
Scheint ja eher die Ausnahme zu sein dass diese Daten benötigt werden.

Ein Posten auf paste.openwb.de hab' ich eben mal getestet, das scheitert (zu Recht) an CORS.

Code: Alles auswählen

settings/#/System/DebugConfiguration:1  Access to XMLHttpRequest at 'https://paste.openwb.de/' from origin 'http://localhost:5173' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

Verfasst: **Mi Feb 26, 2025 7:18 am**

openWB hat geschrieben: ↑So Feb 16, 2025 1:07 pm

Das mit paste.openwb.de und dem Log aus der ramsisk ist ja schon eine große Hilfe, aber nur „Eingeweihten“ bekannt. Über die vorhandene Loganzeige das Log per Copy&Paste irgendwohin zu bringen ist eine Quälerei, weil man das Ende des markierten Blocks mit den Augen suchen muss. Auf dem Handy ist das unmöglich.

Paste.openWB.de lässt sich per curl befüllen.
Gerne einen PR einreichen der das log dorthin wirft und die URL zurück.
https://github.com/lucko/paste

Aber händisch muss man immernoch schauen das keine sensiblen Daten im Log sind.

Sicher dass das mit curl gegen paste.openwb.de heute geht? Ich hab's nicht hinbekommen. Den Aufruf hab' ich aus der Browser Debugkonsole herauskopiert:

Code: Alles auswählen

curl ^"https://paste.openwb.de/post^" ^
  -H ^"Accept: application/json, text/plain, */*^" ^
  -H ^"Accept-Language: de,en-US;q=0.9,en;q=0.8,nl;q=0.7,fr;q=0.6,de-DE;q=0.5,da;q=0.4^" ^
  -H ^"Connection: keep-alive^" ^
  -H ^"Content-Type: application/x-www-form-urlencoded^" ^
  -H ^"DNT: 1^" ^
  -H ^"Origin: http://localhost:5173^" ^
  -H ^"Referer: http://localhost:5173/^" ^
  -H ^"Sec-Fetch-Dest: empty^" ^
  -H ^"Sec-Fetch-Mode: cors^" ^
  -H ^"Sec-Fetch-Site: cross-site^" ^
  -H ^"User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36 Edg/133.0.0.0^" ^
  -H ^"sec-ch-ua: ^\^"Not(A:Brand^\^";v=^\^"99^\^", ^\^"Microsoft Edge^\^";v=^\^"133^\^", ^\^"Chromium^\^";v=^\^"133^\^"^" ^
  -H ^"sec-ch-ua-mobile: ?0^" ^
  -H ^"sec-ch-ua-platform: ^\^"Windows^\^"^" ^
  --data-raw ^"log=A+404+is+expected+if+running+node.js+dev+server^%^21^%^0A404+Not+Found^%^3A+http^%^3A^%^2F^%^2Flocalhost^%^3A5173^%^2FopenWB^%^2Framdisk^%^2Fmain.log^"
  
<!doctype html>
<html lang="en">
<head>
    <meta charset="utf-8"/>
    <title>pastes</title>
    <meta name="viewport" content="width=device-width,initial-scale=1"/>
    <meta name="theme-color" content="#d2a8ff"/>
    <meta name="description" content="a simple pastebin."/>
    <meta name="twitter:card" content="summary"/>
    <meta name="twitter:title" content="pastes"/>
    <meta name="twitter:description" content="a simple pastebin."/>
    <meta name="twitter:image" content="/assets/logo256.png"/>
    <meta property="og:title" content="pastes"/>
    <meta property="og:description" content="a simple pastebin."/>
    <meta property="og:type" content="product"/>
    <meta property="og:image" content="/assets/logo256.png"/>
    <meta property="og:url" content=""/>
    <link rel="icon" href="/favicon.ico"/>
    <link href="/assets/logo512.png" rel="shortcut icon" sizes="512x512" type="image/png">
    <link rel="apple-touch-icon" href="/assets/logo256.png"/>
    <script defer="defer" src="/static/js/main.6986243b.js"></script>
    <link href="/static/css/main.502d56ac.css" rel="stylesheet">
</head>
<body>
    <noscript>You need to enable JavaScript to run this app.</noscript>
    <div id="root"></div>
</body>
</html>

Kann es sein dass die API separat bereitgestellt werden muss? https://github.com/lucko/paste?tab=read ... tesdev-api

Ich hätte eine Erweiterung von https://github.com/openWB/openwb-ui-settings/pull/612 um 'Poste logs auf paste.openwb.de' soweit fertig, allerdings scheitert das ganze noch, dachte zu erst es liegt an CORS, aber vielleicht fehlt die API einfach komplett? Das konnte ich bisher herausfinden.

* Der POST Request läuft als 'Simple request' und es wird kein prefligth check durchgeführt (sehe kein OPTIONS Request)
* Mit meiner Änderung kann ich auf https://api.pastes.dev/post posten, https://paste.openwb.de hingegen schlägt fehl, ich sehe einen CORS Fehler, aber der ist vermutlich irreführend, bzw. nicht das eigentliche Problem.
* api.pastes.dev/post liefert mir einen Access-Control-Allow-Origin header zurück, paste.openwb.de hingegen nicht
* api.pastes.dev/post liefert 201 Created, paste.openwb.de 200 OK

Verfasst: **Mi Feb 26, 2025 7:54 am**

argh ..
ja, paste.openwb.de setzt im Hintergrund auf bytebin auf und führt den request selber durch.
bytebin ist zwar öffentlich erreichbar. Nutzt man die API direkt ist der zurückgelieferte Token in paste dann aber nicht gültig

Verfasst: **Mi Feb 26, 2025 8:29 am**

openWB hat geschrieben: ↑Mi Feb 26, 2025 7:54 am argh ..
ja, paste.openwb.de setzt im Hintergrund auf bytebin auf und führt den request selber durch.
bytebin ist zwar öffentlich erreichbar. Nutzt man die API direkt ist der zurückgelieferte Token in paste dann aber nicht gültig

ah Danke für den Hinweis, das sieht nun besser aus. Der gelieferte Key funktioniert bei mir. Noch nicht hübsch, aber funktioniert.

: Screenshot 2025-02-26 092600.png (129.56 KiB) 1515 mal betrachtet

openWB Forum

Speicher Button für log Dateien

Re: Speicher Button für log Dateien

Re: Speicher Button für log Dateien

Re: Speicher Button für log Dateien

Re: Speicher Button für log Dateien

Re: Speicher Button für log Dateien

Re: Speicher Button für log Dateien