dora

Funktionen

• Extrem schnell, da wir ripgrep im Backend verwenden
• Exploit-/PoC-Schritte für viele API-Schlüssel, die das Verfassen eines guten Berichts für Bug-Bounty-Jagd ermöglichen
• Im Gegensatz zu vielen anderen API-Key-Findern zeigt dora auch den Pfad zur Datei und die Zeile mit Kontext für eine einfachere Analyse
• Kann leicht in Skripte integriert werden. Siehe Beispiel Anwendungsfälle

Installation

Stellen Sie sicher, dass Sie ripgrep installieren.

# clone the repo
$ git clone https://github.com/sdushantha/dora.git

# change the working directory to dora
$ cd dora 

# install dora
$ python3 setup.py install --user

Verwendung

$ dora --help
usage: dora [options]

positional arguments:
  PATH                  Path to directory or file to scan

optional arguments:
  -h, --help            show this help message and exit
  --rg-path RG_PATH     Specify path to ripgrep
  --rg-arguments RG_ARGUMENTS
                        Arguments you want to provide to ripgrep
  --json JSON           Load regex data from a valid JSON file (default: db/data.json)
  --verbose, -v, --debug, -d
                        Display extra debugging information
  --no-color            Don't show color in terminal output

Beispiel Anwendungsfälle

1. Dekomprimieren Sie eine APK mit apktool und führen Sie dora aus, um exponierte API-Schlüssel zu finden
2. Scannen Sie GitHub-Repos, indem Sie diese klonen und dora darauf scannen lassen
3. Während des Scrapings von Websites führen Sie dora aus, um nach API-Schlüsseln zu scannen

Mitwirken

Sie sind herzlich eingeladen, auf eine der folgenden Arten beizutragen:

• Fügen Sie vorhandene reguläre Ausdrücke zum Erkennen von API-Schlüsseln hinzu oder verbessern Sie sie
• Fügen Sie die info in den JSON-Daten für einen API-Schlüssel hinzu oder verbessern Sie sie, um dem Benutzer besser zu helfen, einen gültigen Bug-Bounty-Bericht zu erhalten, wenn er einen gefundenen API-Schlüssel meldet
• Beheben Sie Fehler (bitte vermeiden Sie es, Fehler zu erzeugen)

Danksagungen

Ursprünglicher Ersteller - Siddharth Dushantha

Viele der regulären Ausdrücke stammen aus den folgenden GitHub-Repositories:

• truffleHogRegexes von dxa4481
• secretx von harry1080
• gitGraber von hisxo
• shhgit von eth0izzle
• w13scan von w-digital-scanner
• SecretFinder von m4ll0k
• nuclei-templates von projectdiscovery
• AdvancedKeyHacks von udit-thakkur
• pentest-tools von gwen001
• gitleaks von zricethezav
• dalfox von hahwul

Die Mehrheit der Exploitation-/POC-Methoden stammt aus dem Repository keyhacks von streaak