wrongsecrets-binaries

Dies ist ein unterstützendes Repository für OWASP WrongSecrets. Hier erstellen wir unsere Binaries, die im offiziellen Projekt enthalten sind. Möchtest du eine Challenge zum Verstecken von Geheimnissen in Binaries hinzufügen? Eröffne ein Ticket unter WrongSecrets issues. Möchtest du etwas korrigieren, das du in einem der Binaries gefunden hast: Eröffne hier ein Ticket oder einen PR.

CTF-Unterstützung

Dieses Repository unterstützt nun die Erstellung von CTF-Versionen (Capture The Flag) aller Binaries mit zufällig generierten Geheimnissen. CTF-Versionen verwenden anstelle statischer Geheimnisse das Format this is the secret in <language> : <random_hex> und eignen sich damit für CTF-Wettbewerbe.

• Automatische Generierung: Sowohl quickbuild.sh als auch GitHub Actions erzeugen CTF-Versionen zusammen mit den regulären Binaries.
• Alle Sprachen: Unterstützt C, C++, Go, Rust, .NET und Swift.
• Einfaches Testen: Verwende ./test_ctf_generation.sh, um die Funktionalität zu überprüfen.

Detaillierte Anweisungen zur Verwendung findest du in docs/CTF_GENERATION.md.

Entwicklung

Dieses Repository verwendet pre-commit lite mit automatischer Code-Formatierung, um die Codequalität mit minimalem Aufwand zu erhalten. Die schlanke Konfiguration behebt Formatierungsprobleme in Rust- und Go-Code automatisch. Setup-Anweisungen findest du in docs/PRE_COMMIT.md.

Sicherheits-Scans

Dieses Repository umfasst umfassende Sicherheits-Scans mit den kostenlosen Tools von GitHub:

CodeQL-Analyse

• Abgedeckte Sprachen: C, C++, Go, C#/.NET, Swift
• Auslöser: Push auf main/master, Pull Requests, manueller Start, wöchentlicher Zeitplan
• Integration: Ergebnisse werden automatisch in den Tab „Sicherheit“ von GitHub hochgeladen

Semgrep-Analyse

• Abgedeckte Sprachen: Alle Sprachen (C, C++, Go, Rust, C#/.NET, Swift)
• Regelsätze:
  • Sicherheitsprobleme aus den OWASP Top 10
  • Schwachstellen aus dem CWE Top 25
  • Erkennung von Geheimnissen
  • Allgemeine Regeln für Sicherheitsaudits
• Integration: SARIF-Ergebnisse werden in den Tab „Sicherheit“ von GitHub hochgeladen

Anzeigen der Sicherheitsergebnisse

Die Ergebnisse der Sicherheits-Scans sind im Tab Sicherheit des Repositorys unter Code-Scanning-Warnungen verfügbar. Die Scans laufen automatisch bei Codeänderungen sowie wöchentlich sonntags um 3:00 Uhr UTC.

Besonderer Dank

Mitwirkende:

Leiter:

• Ben de Haan @bendehaan
• Jeroen Willemsen @commjoen

Hauptmitwirkende:

• Puneeth Y @puneeth072003
• Rodolfo Cabral Neves @roddas
• Diamond Rivero @diamant3
• Joss Sparkes @remakingeden

Sponsoring:

Wir möchten den folgenden Parteien für ihre Unterstützung danken:

GitGuardian für ihr Sponsoring, das es uns ermöglicht, die Rechnungen für unsere Cloud-Konten zu bezahlen.

Jetbrains für die Lizenzierung einer Instanz der Intellij IDEA Ultimate Edition für die Projektleiter. Ohne sie wären wir bei der Entwicklung nicht so schnell gewesen!

Docker für die Gewährung ihres Docker-Open-Source-Sponsorenprogramms.

1Password für die Gewährung einer Open-Source-Lizenz für 1Password für die Testumgebung zur Erkennung von Geheimnissen.

Urheberrechte

Copyright (c) 2020-2025 Jeroen Willemsen und die Mitwirkenden von WrongSecret.