dora

Fonctionnalités

• Très rapide car nous utilisons ripgrep en arrière-plan
• Étapes d'exploitation/Preuve de concept pour de nombreuses clés API, permettant de rédiger un bon rapport pour la chasse aux bugs (bug bounty)
• Contrairement à de nombreux autres chercheurs de clés API, dora affiche également le chemin du fichier et la ligne avec contexte pour une analyse plus facile
• Peut être facilement intégré dans des scripts. Voir Exemples d'utilisation

Installation

Assurez-vous d'installer ripgrep

# clone the repo
$ git clone https://github.com/sdushantha/dora.git

# change the working directory to dora
$ cd dora 

# install dora
$ python3 setup.py install --user

Utilisation

$ dora --help
usage: dora [options]

positional arguments:
  PATH                  Path to directory or file to scan

optional arguments:
  -h, --help            show this help message and exit
  --rg-path RG_PATH     Specify path to ripgrep
  --rg-arguments RG_ARGUMENTS
                        Arguments you want to provide to ripgrep
  --json JSON           Load regex data from a valid JSON file (default: db/data.json)
  --verbose, -v, --debug, -d
                        Display extra debugging information
  --no-color            Don't show color in terminal output

Exemples d'utilisation

1. Décompilez une APK avec apktool et exécutez dora pour trouver des clés API exposées
2. Analysez des dépôts GitHub en les clonant et en laissant dora les analyser
3. Lors du scraping de sites, exécutez dora pour rechercher des clés API

Contribuer

Vous êtes plus que bienvenu pour contribuer de l'une des manières suivantes :

• Ajoutez ou améliorez les expressions régulières existantes pour la détection des clés API
• Ajoutez ou améliorez les info dans les données JSON d'une clé API pour mieux aider l'utilisateur à obtenir un rapport de bug bounty valide lorsqu'il signale une clé API trouvée
• Corrigez les bugs (merci de ne pas en créer)

Crédits

Créateur original - Siddharth Dushantha

La plupart des expressions régulières proviennent des dépôts GitHub suivants :

• truffleHogRegexes par dxa4481
• secretx par harry1080
• gitGraber par hisxo
• shhgit par eth0izzle
• w13scan par w-digital-scanner
• SecretFinder par m4ll0k
• nuclei-templates par projectdiscovery
• AdvancedKeyHacks par udit-thakkur
• pentest-tools par gwen001
• gitleaks par zricethezav
• dalfox par hahwul

La majorité des méthodes d'exploitation/Preuve de concept proviennent du dépôt keyhacks par streaak