anshumanbh/git-all-secretsEin Tool, um alle Git-Geheimnisse zu erfassen, indem mehrere Open-Source-Git-Suchwerkzeuge genutzt werden.
git-all-secrets ist ein Werkzeug, das Folgendes kann:
Das Scannen erfolgt durch mehrere Open-Source-Tools wie:
HINWEIS - Weitere solche Tools können in Zukunft hinzugefügt werden, falls gewünscht!
HINWEIS - Das Scannen kann mit allen Tools oder nur einem davon durchgeführt werden, indem das Flag toolName angegeben wird.
Wenn alle Tools zum Scannen verwendet werden, kombiniert die endgültige Ausgabe des Tools die Ausgaben aller Dateien aller Tools in einer konsolidierten Ausgabedatei.
Der einfachste Weg, git-all-secrets auszuführen, ist über Docker, und ich empfehle dringend, Docker zu installieren, falls du es noch nicht hast. Sobald du Docker installiert hast:
docker run --rm -it abhartiya/tools_gitallsecrets --help ein, um die verschiedenen Flags zu verstehen, die als Eingabe akzeptiert werden.docker run -it abhartiya/tools_gitallsecrets -token=<> -org=<> ein. Du kannst auch ein bestimmtes Tool zum Scannen angeben, indem du etwas wie docker run -it abhartiya/tools_gitallsecrets -token=<> -org=<> -toolName=<> eingibst. Optionen sind thog und repo-supervisor.thogEntropy wie folgt an: docker run -it abhartiya/tools_gitallsecrets -token=<> -org=<> -toolName=thog -thogEntropy.docker ps -a eingibst.docker cp <container-id>:/root/results.txt . eingibst.-token = Persönlicher GitHub-Zugriffstoken. Wir brauchen diesen, weil unauthentifizierte Anfragen an die GitHub-API schnell die Ratenbegrenzung erreichen!
-org = Name der zu scannenden Organisation. Dies scannt alle öffentlichen Repos in der Organisation + alle Repos und Gists aller Benutzer in der Organisation. Wenn du einen Token eines Benutzers verwendest, der Teil dieser Organisation ist, werden auch alle geheimen Gists dieses Benutzers sowie alle privaten Repos in dieser Organisation, auf die der Benutzer Zugriff hat, geklont und gescannt. Es werden jedoch KEINE privaten Repositories dieses Benutzers in dieser Organisation geklont und gescannt. Zum Scannen privater Repositories von Benutzern verwende bitte das Flag scanPrivateReposOnly zusammen mit dem Flag user und dem SSH-Schlüssel, der auf einem Volume bereitgestellt wird.
-user = Name des zu scannenden Benutzers. Dies scannt alle Repos und Gists dieses Benutzers. Wenn der bereitgestellte Token der Token des Benutzers ist, werden auch geheime Gists geklont und gescannt. Es werden jedoch nur öffentliche Repos geklont und gescannt. Zum Scannen privater Repositories dieses Benutzers verwende bitte das Flag scanPrivateReposOnly zusammen mit dem Flag user und dem SSH-Schlüssel, der auf einem Volume bereitgestellt wird.
-repoURL = HTTPS-URL des zu scannenden Repos. Dies scannt nur dieses Repository. Bei öffentlichen Repos reicht die Angabe der https-URL des Repos aus. Wenn du jedoch ein privates Repo scannen möchtest, musst du die ssh-URL zusammen mit dem SSH-Schlüssel auf einem Volume und dem Flag scanPrivateReposOnly angeben.
-gistURL = HTTPS-URL des zu scannenden Gists. Dies scannt nur dieses Gist. Es gibt kein Konzept von öffentlichen oder geheimen Gists, solange du die URL hast. Selbst wenn du ein geheimes Gist hast, kann jeder, der die HTTPS-URL deines geheimen Gists kennt, darauf zugreifen.
-output = Dies ist der Name der Datei, in der alle Ergebnisse gespeichert werden. Standardmäßig ist dies results.txt.
-cloneForks = Dies ist das optionale boolesche Flag zum Klonen von Forks von Organisations- und Benutzer-Repositories. Standardmäßig ist dies auf 0 gesetzt, d.h. keine Forks werden geklont. Wenn Forks geklont werden sollen, muss dieser Wert auf 1 gesetzt werden. Oder einfach -cloneForks zusammen mit anderen Flags angeben.
-orgOnly = Dies ist das optionale boolesche Flag zum Überspringen des Klonens von Benutzer-Repositories, die zu einer Organisation gehören. Standardmäßig ist dies auf 0 gesetzt, d.h. normales Verhalten. Wenn keine Benutzer-Repos gescannt werden sollen, sondern nur die Organisations-Repositories, muss dieser Wert auf 1 gesetzt werden. Oder einfach -orgOnly zusammen mit anderen Flags angeben.
-toolName = Dies ist das optionale String-Flag, um anzugeben, welches Tool zum Scannen verwendet werden soll. Standardmäßig ist dies auf all gesetzt, d.h. thog und repo-supervisor werden alle zum Scannen verwendet. Werte sind entweder thog oder repo-supervisor.
-teamName = Name des Organisations-Teams, das Zugriff auf private Repositories zum Scannen hat. Dieses Flag ist nicht vollständig getestet, daher kann ich die Funktionalität nicht garantieren.
-scanPrivateReposOnly = Dies ist das optionale boolesche Flag, um anzugeben, ob private Benutzer-Repositories gescannt werden sollen. Wenn dies angegeben wird, werden öffentliche Benutzer-Repositories NICHT gescannt. Und du musst den SSH-Schlüssel bereitstellen, indem du das Volume in den Container einhängst. Dies funktioniert nur mit dem Flag user, dem Flag repoURL oder dem Flag org.
Wenn das Flag org zusammen mit dem Flag scanPrivateReposOnly und ohne das Flag orgOnly angegeben wird, werden die öffentlichen UND die privaten Repos dieser Organisation gescannt, auf die der Benutzer Zugriff hat (dessen Token bereitgestellt wird). Anschließend werden NUR die privaten Repositories des Benutzers gescannt (dessen Token bereitgestellt wird). Schließlich werden alle öffentlichen und geheimen Gists dieses Benutzers gescannt (dessen Token bereitgestellt wird). Kurz gesagt, das Flag scanPrivateReposOnly betrifft wirklich nur die Flags user und repoURL.
-enterpriseURL = Optionales Flag zur Angabe der Enterprise-GitHub-URL, falls Enterprise-Repositories gescannt werden sollen. Es sollte etwa https://github.org.com/api/v3 sein, zusammen mit dem SSH-Schlüssel, der in den Container eingehängt wird. Siehe Scannen von GitHub Enterprise unten.
-threads = Standardwert ist 10. Dies dient zur Begrenzung der Thread-Anzahl, falls dein System nicht leistungsstark genug ist. In den meisten Fällen sollte 10 in Ordnung sein.