Dies ist ein unterstützendes Repository für OWASP WrongSecrets. Hier erstellen wir unsere Binärdateien, die im offiziellen Projekt enthalten sind. Möchtest du eine Challenge zum Thema Geheimnisse in Binärdateien hinzufügen? Öffne ein Ticket bei WrongSecrets issues. Möchtest du etwas beheben, das du in einer der Binärdateien gefunden hast: Öffne hier ein Ticket oder einen PR.

CTF-Unterstützung

Dieses Repository unterstützt nun die Generierung von CTF-Versionen (Capture The Flag) aller Binärdateien mit randomisierten Geheimnissen. CTF-Versionen verwenden das Format this is the secret in <language> : <random_hex> anstelle von statischen Geheimnissen, wodurch sie für CTF-Wettbewerbe geeignet sind.

• Automatische Generierung: Sowohl quickbuild.sh als auch GitHub Actions generieren CTF-Versionen neben den regulären Binärdateien
• Alle Sprachen: Unterstützt C, C++, Go, Rust, .NET und Swift
• Einfaches Testen: Verwende ./test_ctf_generation.sh, um die Funktionalität zu überprüfen

Siehe docs/CTF_GENERATION.md für detaillierte Nutzungsanweisungen.

Entwicklung

Dieses Repository verwendet pre-commit lite mit automatischer Codeformatierung, um die Codequalität mit minimalem Aufwand zu erhalten. Die leichtgewichtige Konfiguration behebt automatisch Formatierungsprobleme für Rust- und Go-Code. Siehe docs/PRE_COMMIT.md für Einrichtungsanweisungen.

Sicherheitsscans

Dieses Repository enthält umfassende Sicherheitsscans mit den kostenlosen Tools von GitHub:

CodeQL-Analyse

• Abgedeckte Sprachen: C, C++, Go, C#/.NET, Swift
• Auslöser: Push auf main/master, Pull Requests, manueller Dispatch, wöchentlicher Zeitplan
• Integration: Ergebnisse werden automatisch in den GitHub-Sicherheitsbereich hochgeladen

Semgrep-Analyse

• Abgedeckte Sprachen: Alle Sprachen (C, C++, Go, Rust, C#/.NET, Java, Swift)
• Regelsätze:
  • OWASP Top 10 Sicherheitsprobleme
  • CWE Top 25 Schwachstellen
  • Geheimniserkennung
  • Allgemeine Sicherheitsaudit-Regeln
• Integration: SARIF-Ergebnisse werden in den GitHub-Sicherheitsbereich hochgeladen

Sicherheitsergebnisse anzeigen

Die Ergebnisse der Sicherheitsscans sind im Sicherheitsbereich des Repositorys unter Code-Scanning-Warnungen verfügbar. Die Scans laufen automatisch bei Codeänderungen und wöchentlich sonntags um 3:00 Uhr UTC.

Besonderer Dank

Mitwirkende:

Leiter:

• Ben de Haan @bendehaan
• Jeroen Willemsen @commjoen

(Top-)Mitwirkende:

• Puneeth Y @puneeth072003
• Rodolfo Cabral Neves @roddas
• Diamond Rivero @diamant3
• Joss Sparkes @remakingeden
• Arpit Jain

Sponsoring:

Wir möchten den folgenden Parteien für ihre Unterstützung danken:

GitGuardian für ihr Sponsoring, das es uns ermöglicht, die Rechnungen für unsere Cloud-Konten zu bezahlen.

Jetbrains für die Lizenzierung einer Intellij IDEA Ultimate Edition für die Projektleiter. Ohne sie wären wir bei der Entwicklung nicht so schnell gewesen!

Docker für die Gewährung ihres Docker Open Source Sponsored Program.

1Password für die Gewährung einer Open-Source-Lizenz für 1Password für das Testfeld zur Geheimniserkennung.

Urheberrechte

Copyright (c) 2020-2026 Jeroen Willemsen und WrongSecret-Mitwirkende.