你的 Go Binary 正在洩漏 Secret：strings 指令的威力與防禦

763 字

4 分鐘

你的 Go Binary 正在洩漏 Secret：strings 指令的威力與防禦

2026-04-09

Ying Xiang Zhao

DevOps

Go

/

Docker

/

資安

/

逆向工程

一行指令，撈出所有 Secret#

最近在研究一個用 Go 寫的容器化應用時，發現了一件有趣的事：所有編譯時注入的敏感資訊，用 strings 一行就能全部撈出來。

1
strings ./app | grep -E "secret|password|answer|token"

不只是 secret 本身，連 build 指令都會洩漏：

1
build  -ldflags="-s -w -X main.secret=my-super-secret-key"

為什麼會這樣？#

Go 常用 -ldflags "-X" 在編譯時注入變數值：

1
go build -ldflags="-X main.secret=my-super-secret-key -X main.version=v1.0.0" -o app

1
var secret string
2
var version string
3

4
func main() {
5
    fmt.Println(secret)  // my-super-secret-key
6
    fmt.Println(version) // v1.0.0
7
}

這在注入版本號、commit hash 時很常見，CI/CD pipeline 幾乎都這樣用。但問題是：-X 注入的值會以明文存在 binary 的 data section，strings 指令會掃描 binary 中所有可列印的字串序列，直接就能看到。

garble 能解決嗎？#

garble 是 Go 的 binary 混淆工具，-literals flag 會把字串常量加密，runtime 才解密。

實測一下：

1
# 正常編譯
2
go build -ldflags="-X main.secret=my-super-secret-key" -o app-normal
3

4
# garble 編譯
5
garble -literals build -ldflags="-X main.secret=my-super-secret-key" -o app-garble

1
# 正常版：全部曝光
2
$ strings app-normal | grep secret
3
my-super-secret-key
4
-ldflags="-X main.secret=my-super-secret-key"
5

6
# garble 版：寫在 source code 的字串消失了，但...
7
$ strings app-garble | grep secret
8
my-super-secret-key    # 還是在！

結果：

來源	正常 build	garble -literals
寫在 source code 的字串	明文曝光	成功隱藏
`-ldflags -X` 注入的值	明文曝光	仍然曝光

garble 在 compiler 階段混淆字串，但 -X 是 linker 階段直接寫入的，garble 介入不了。

正確做法#

Secret：不進 binary，runtime 注入#

1
func main() {
2
    // 從環境變數取得，binary 裡完全沒有 secret
3
    secret := os.Getenv("SECRET")
4
    if secret == "" {
5
        log.Fatal("SECRET not set")
6
    }
7
}

部署時透過環境變數 / K8s Secret / Vault 注入：

1
SECRET=my-super-secret-key ./app

版本號等非敏感值：byte array + garble#

如果連版本號都不想被 strings 撈到，避免用 -X 注入或直接字串常量，改用 byte array 讓 garble 可以混淆：

1
func getVersion() string {
2
    return string([]byte{'v', '1', '.', '0', '.', '0'})
3
}

搭配 garble：

1
garble -literals build -ldflags="-s -w" -o app

實測 strings 完全撈不到任何東西。

同場加映：Docker Image 也會洩漏#

這不只是 binary 的問題。Docker image 也有類似的安全盲區：

docker history 洩漏 build 參數#

1
$ docker history --no-trunc <image>
2
# ENV SECRET=xxx、ARG TOKEN=xxx 全部看得到

COPY 再 rm 檔案仍在 layer 裡#

1
COPY secret.txt /app/secret.txt
2
RUN rm /app/secret.txt    # 沒用，前一層還在

用 docker save 匯出 image，解壓後就能從舊 layer 提取被「刪除」的檔案：

1
docker save <image> -o image.tar
2
tar xf image.tar -C layers
3
# 逐層搜尋，一定找得到

完整防禦清單#

1
層級              問題                    正確做法
2
─────────────────────────────────────────────────────────
3
Go binary        -X ldflags 明文注入      環境變數 / Vault runtime 注入
4
Go binary        字串常量明文              garble -literals 混淆
5
Dockerfile       ENV / ARG 洩漏           Multi-stage build，不在最終 image 留痕
6
Docker layer     COPY + rm 假刪除         Multi-stage build，敏感檔只存在 builder stage
7
Docker registry  image 可被 pull          私有 registry + 最小權限