brumbelow/layerleaklayerleak – der Docker Hub Secret Scanner
Siehe CONTRIBUTING.md für Richtlinien zur Mitarbeit.
Die veröffentlichte Seite wird aus web/ im main-Branch von .github/workflows/pages.yml erstellt. Die Quellen der Dokumentation und die simulierte Browser-Demo befinden sich in diesem Verzeichnis.
Voraussetzungen:
Installation mit Go:
go install github.com/brumbelow/layerleak@latest
layerleak --help
Das kanonische Installationsziel ist das Modul-Root. Um eine bestimmte Version festzulegen:
go install github.com/brumbelow/[email protected]
Ersetzen Sie v1.0.0 durch das gewünschte veröffentlichte v1.x.y-Tag.
Stellen Sie sicher, dass Ihr GOBIN- oder GOPATH/bin-Verzeichnis in PATH enthalten ist.
Der Modulpfad ist github.com/brumbelow/layerleak, daher löst go install @latest das höchste veröffentlichte v1.x.y-Tag auf. Eine v2.x.y-Modulveröffentlichung würde erfordern, dass der Modulpfad zu github.com/brumbelow/layerleak/v2 geändert wird. Modul-installierte Binärdateien melden die aufgelöste Modulversion über layerleak --version; lokale Checkout-Builds melden die Version, die Go für den Checkout einbettet, und fallen auf dev zurück, wenn keine Modulversion verfügbar ist.
Build aus dem Quellcode:
git clone https://github.com/brumbelow/layerleak.git
cd layerleak
go build -o layerleak .
./layerleak --help
Die API mit einem Container-Image ausführen:
docker pull ghcr.io/brumbelow/layerleak:latest
docker run --rm \
-p 8080:8080 \
-e LAYERLEAK_DATABASE_URL='postgres://<user>:<password>@<host>:5432/layerleak?sslmode=disable' \
ghcr.io/brumbelow/layerleak:latest
Das Container-Image führt standardmäßig die API aus und setzt LAYERLEAK_API_ADDR=0.0.0.0:8080.
Optionale Umgebungskonfiguration:
cp .env.example .env
Ergebnis- und Datenbankkonfiguration:
export LAYERLEAK_LOG_LEVEL=info
export LAYERLEAK_FINDINGS_DIR=findings
export LAYERLEAK_API_ADDR=127.0.0.1:8080
export LAYERLEAK_PERSIST_RAW_SECRETS=0
export LAYERLEAK_TAG_PAGE_SIZE=100
export LAYERLEAK_HTTP_TIMEOUT=30s
export LAYERLEAK_MAX_FILE_BYTES=1048576
export LAYERLEAK_MAX_LAYER_BYTES=536870912
export LAYERLEAK_MAX_LAYER_ENTRIES=50000
export LAYERLEAK_MAX_MANIFEST_BYTES=0
export LAYERLEAK_MAX_CONFIG_BYTES=0
export LAYERLEAK_MAX_TAG_RESPONSE_BYTES=8388608
export LAYERLEAK_MAX_REPOSITORY_TAGS=0
export LAYERLEAK_MAX_REPOSITORY_TARGETS=0
export LAYERLEAK_REGISTRY_REQUEST_ATTEMPTS=2
# Optionale Registry-Überschreibungen; normalerweise nicht gesetzt.
export LAYERLEAK_REGISTRY_BASE_URL=
export LAYERLEAK_REGISTRY_AUTH_URL=
export LAYERLEAK_DATABASE_URL=postgres://postgres:postgres@localhost:5432/layerleak?sslmode=disable
Dieselben Variablen und ihre Standardwerte befinden sich in .env.example, das die Quelle der Wahrheit für Standardwerte ist.
| Variable | Standard | Zweck |
|---|---|---|
LAYERLEAK_LOG_LEVEL | info | Log-Level: debug, info, warn oder error. |
LAYERLEAK_FINDINGS_DIR | nicht gesetzt | Wohin JSON-Ergebnisdateien geschrieben werden. Wenn nicht gesetzt, standardmäßig findings/ unter dem nächstgelegenen übergeordneten Verzeichnis mit go.mod, ansonsten das aktuelle Arbeitsverzeichnis. |
LAYERLEAK_API_ADDR | 127.0.0.1:8080 | Bind-Adresse für den API-Server. Das Container-Image überschreibt dies auf 0.0.0.0:8080. |
LAYERLEAK_PERSIST_RAW_SECRETS | 0 | Auf 1 setzen, um rohe Secret-Werte und rohe Kontextausschnitte auf die Festplatte und nach Postgres zu schreiben. Ergebnisse bleiben standardmäßig geschwärzt. |
LAYERLEAK_HTTP_TIMEOUT | 30s | Timeout pro Anfrage für jeden Registry-Aufruf (Manifeste, Blobs, Tag-Seiten, Authentifizierungstoken). Akzeptiert jede Go-Dauer (30s, 2m, 1h). |
LAYERLEAK_MAX_FILE_BYTES | 1048576 (1 MiB) | Maximale dekomprimierte Bytes, die pro Datei innerhalb eines Layers gepuffert werden. Größere Dateien werden als zu groß übersprungen. Muss größer als Null sein. |
LAYERLEAK_MAX_LAYER_BYTES | 536870912 (512 MiB) | Maximale dekomprimierte Layer-Stream-Bytes pro Layer. 0 deaktiviert das Limit. |
LAYERLEAK_MAX_LAYER_ENTRIES | 50000 | Maximale Tar-Einträge pro Layer. 0 deaktiviert das Limit. |
LAYERLEAK_MAX_MANIFEST_BYTES | 0 | Maximale Manifest-Body-Bytes. 0 deaktiviert das Limit. |
LAYERLEAK_MAX_CONFIG_BYTES | 0 | Maximale Image-Konfigurations-Body-Bytes. 0 deaktiviert das Limit. |
LAYERLEAK_MAX_TAG_RESPONSE_BYTES | 8388608 (8 MiB) | Maximale Bytes pro Registry-Tag-Listen-Antwortseite. 0 deaktiviert das Limit. |
LAYERLEAK_TAG_PAGE_SIZE | 100 | Größe der Registry-Tag-Listenseite für repositoryweite Scans. |
LAYERLEAK_MAX_REPOSITORY_TAGS | 0 | Maximale Tags, die pro Repository-Scan aufgezählt werden. 0 deaktiviert das Limit. |
LAYERLEAK_MAX_REPOSITORY_TARGETS | 0 | Maximale verschiedene Ziele, die pro Repository-Scan aufgelöst werden. 0 deaktiviert das Limit. |
LAYERLEAK_REGISTRY_REQUEST_ATTEMPTS | 2 | Anzahl der Versuche (einschließlich des ersten) für jede Registry-Anfrage. |
LAYERLEAK_REGISTRY_BASE_URL | nicht gesetzt | Optionale Überschreibung. Normalerweise leitet layerleak dies von jeder Image-Referenz ab; nur setzen, um Scans über einen Proxy oder alternativen Endpunkt zu erzwingen. |
LAYERLEAK_REGISTRY_AUTH_URL | nicht gesetzt | Optionale Überschreibung. Normalerweise aus der WWW-Authenticate-Challenge des Registrys ermittelt. |
LAYERLEAK_DATABASE_URL | nicht gesetzt | Wenn gesetzt, schreibt layerleak Scans nach Postgres und schlägt der Befehl fehl, wenn die Persistenz nicht erfolgreich ist. |
Wenn eines der MAX_*-Limits auf einen positiven Wert gesetzt ist, führt dessen Überschreitung zu einem Scann-Fehler mit einer klaren Fehlermeldung, anstatt die Arbeit stillschweigend abzuschneiden.
Ergebnisverhalten: