streaak/keyhacksKuratierte Sammlung von Befehlen zur Validierung von durchgesickerten API-Schlüsseln aus Bug-Bounty-Programmen und Penetrationstests, die über 80 Dienste abdeckt, darunter AWS, GitHub, Slack und Twilio.
KeyHacks zeigt Methoden zur Validierung verschiedener API-Schlüssel, die in einem Bug-Bounty-Programm oder einem Pentest gefunden werden.
@Gwen001 hat den gesamten Prozess skriptgesteuert verfügbar gemacht und kann hier gefunden werden.
Wenn der folgende Befehl missing_text_or_fallback_or_attachments zurückgibt, bedeutet dies, dass die URL gültig ist; jede andere Antwort würde bedeuten, dass die URL ungültig ist.```
curl -s -X POST -H "Content-type: application/json" -d '{"text":""}' "https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX"
## [Slack API-Token](https://api.slack.com/web)```
curl -sX POST "https://slack.com/api/auth.test?token=xoxp-TOKEN_HERE&pretty=1"
oder``` curl -sX POST "https://slack.com/api/auth.test" -H "Accept: application/json; charset=utf-8" -H "Authorization: Bearer xoxb-TOKEN_HERE"
## [SauceLabs Benutzername und Zugangsschlüssel](https://wiki.saucelabs.com/display/DOCS/Account+Methods)```
curl -u USERNAME:ACCESS_KEY https://saucelabs.com/rest/v1/users/USERNAME
Du kannst Zugriffstoken generieren, indem du die folgende URL besuchst.``` https://graph.facebook.com/oauth/access_token?client_id=ID_HERE&client_secret=SECRET_HERE&redirect_uri=&grant_type=client_credentials
## Facebook-Zugriffstoken```
https://developers.facebook.com/tools/debug/accesstoken/?access_token=ACCESS_TOKEN_HERE&version=v3.2
Erfordert ein benutzerdefiniertes Token und einen API-Schlüssel.
curl -s -XPOST -H 'content-type: application/json' -d '{"token":":custom_token","returnSecureToken":True}' 'https://identitytoolkit.googleapis.com/v1/accounts:signInWithCustomToken?key=:api_key'curl -s -XPOST -H 'content-type: application/json' -d '{"idToken":":id_token"}' https://www.googleapis.com/identitytoolkit/v3/relyingparty/verifyCustomToken?key=:api_key'curl -s -u "user:apikey" https://api.github.com/user curl -s -H "Authorization: token TOKEN_HERE" "https://api.github.com/users/USERNAME_HERE/orgs"
curl "https://api.github.com/rate_limit" -i -u "user:apikey" | grep "X-OAuth-Scopes:"
## [Github-Client-ID und Client-Secret](https://developer.github.com/v3/#oauth2-keysecret)```
curl 'https://api.github.com/users/whatever?client_id=xxxx&client_secret=yyyy'
Referenz: https://abss.me/posts/fcm-takeover``` curl -s -X POST --header "Authorization: key=AI..." --header "Content-Type:application/json" 'https://fcm.googleapis.com/fcm/send' -d '{"registration_ids":["1"]}'
## GitHub privater SSH-Schlüssel