TruffleHog

लीक हुए क्रेडेंशियल खोजें।

---

---

🔎 अब स्कैनिंग कर रहा है

🌐 TruffleHog Enterprise

क्या आप क्रेडेंशियल के लिए Git, Jira, Slack, Confluence, Microsoft Teams, Sharepoint (और अधिक) की लगातार निगरानी करने में रुचि रखते हैं? हमारे पास एक एंटरप्राइज़ उत्पाद है जो मदद कर सकता है! अधिक जानें https://trufflesecurity.com/trufflehog-enterprise पर।

हम एंटरप्राइज़ उत्पाद से प्राप्त राजस्व का उपयोग अधिक शानदार ओपन सोर्स प्रोजेक्ट्स को फंड करने के लिए करते हैं जिनसे पूरा समुदाय लाभान्वित हो सके।

TruffleHog क्या है 🐽

TruffleHog सबसे शक्तिशाली सीक्रेट्स डिस्कवरी, क्लासिफिकेशन, वैलिडेशन, और एनालिसिस टूल है। इस संदर्भ में, सीक्रेट से तात्पर्य उस क्रेडेंशियल से है जिसका उपयोग कोई मशीन किसी अन्य मशीन के प्रति स्वयं को प्रमाणित करने के लिए करती है। इसमें API कुंजियाँ, डेटाबेस पासवर्ड, निजी एन्क्रिप्शन कुंजियाँ, और बहुत कुछ शामिल है।

डिस्कवरी 🔍

TruffleHog कई स्थानों पर सीक्रेट्स खोज सकता है, जिनमें Git, चैट, विकी, लॉग, API परीक्षण प्लेटफ़ॉर्म, ऑब्जेक्ट स्टोर, फ़ाइलसिस्टम और बहुत कुछ शामिल हैं।

क्लासिफिकेशन 📁

TruffleHog 800 से अधिक सीक्रेट प्रकारों को वर्गीकृत करता है, और उन्हें उस विशिष्ट पहचान से जोड़ता है जिससे वे संबंधित हैं। क्या यह AWS सीक्रेट है? Stripe सीक्रेट? Cloudflare सीक्रेट? Postgres पासवर्ड? SSL निजी कुंजी? कभी-कभी देखकर बताना कठिन होता है, इसलिए TruffleHog जो कुछ भी पाता है उसे वर्गीकृत करता है।

वैलिडेशन ✅

TruffleHog जिस भी सीक्रेट को वर्गीकृत कर सकता है, वह यह पुष्टि करने के लिए लॉग इन भी कर सकता है कि वह सीक्रेट लाइव है या नहीं। यह जानने के लिए यह चरण महत्वपूर्ण है कि क्या कोई सक्रिय वर्तमान खतरा है या नहीं।

एनालिसिस 🔬

सबसे अधिक लीक होने वाले लगभग 20 क्रेडेंशियल प्रकारों के लिए, सीक्रेट लॉग इन कर सकता है या नहीं यह जाँचने के लिए एक अनुरोध भेजने के बजाय, TruffleHog सीक्रेट के बारे में जानने योग्य सब कुछ जानने के लिए कई अनुरोध भेज सकता है। इसे किसने बनाया? यह किन संसाधनों तक पहुँच सकता है? उन संसाधनों पर इसकी क्या अनुमतियाँ हैं?

📢 हमारे समुदाय से जुड़ें

प्रश्न हैं? प्रतिक्रिया? Slack या Discord में शामिल हों और हमारे साथ समय बिताएँ।

हमारे Slack समुदाय से जुड़ें

Secret Scanning Discord से जुड़ें

📺 डेमो

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --org=trufflesecurity

💾 इंस्टॉलेशन

आपके लिए कई विकल्प उपलब्ध हैं:

MacOS उपयोगकर्ताओं के लिए

brew install trufflehog

Docker:

_{सुनिश्चित करें कि निम्नलिखित कमांड निष्पादित करने से पहले Docker इंजन चल रहा है:}

    Unix

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Windows कमांड प्रॉम्प्ट

docker run --rm -it -v "%cd:/=\%:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Windows PowerShell

docker run --rm -it -v "${PWD}:/pwd" trufflesecurity/trufflehog github --repo https://github.com/trufflesecurity/test_keys

    M1 और M2 Mac

docker run --platform linux/arm64 --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

बाइनरी रिलीज़

Download and unpack from https://github.com/trufflesecurity/trufflehog/releases

स्रोत से संकलित करें

git clone https://github.com/trufflesecurity/trufflehog.git
cd trufflehog; go install

इंस्टॉलेशन स्क्रिप्ट का उपयोग करना

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin

इंस्टॉलेशन स्क्रिप्ट का उपयोग करना, चेकसम हस्ताक्षर सत्यापित करें (cosign इंस्टॉल होना आवश्यक है)

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -v -b /usr/local/bin

किसी विशिष्ट संस्करण को स्थापित करने के लिए इंस्टॉलेशन स्क्रिप्ट का उपयोग करना

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin <ReleaseTag like v3.56.0>

🔐 आर्टिफ़ैक्ट्स का सत्यापन

सभी आर्टिफ़ैक्ट्स पर चेकसम लागू किए जाते हैं, और परिणामी चेकसम फ़ाइल को cosign का उपयोग करके हस्ताक्षरित किया जाता है।

हस्ताक्षर सत्यापित करने के लिए आपको निम्नलिखित टूल की आवश्यकता होगी:

• Cosign

सत्यापन के चरण इस प्रकार हैं:

1. अपनी इच्छित आर्टिफ़ैक्ट फ़ाइलें डाउनलोड करें, और releases पृष्ठ से निम्नलिखित फ़ाइलें भी डाउनलोड करें।

   • trufflehog_{version}_checksums.txt
   • trufflehog_{version}_checksums.txt.pem
   • trufflehog_{version}_checksums.txt.sig

2. हस्ताक्षर सत्यापित करें:

   cosign verify-blob <path to trufflehog_{version}_checksums.txt> \
   --certificate <path to trufflehog_{version}_checksums.txt.pem> \
   --signature <path to trufflehog_{version}_checksums.txt.sig> \
   --certificate-identity-regexp 'https://github\.com/trufflesecurity/trufflehog/\.github/workflows/.+' \
   --certificate-oidc-issuer "https://token.actions.githubusercontent.com"
   

3. एक बार हस्ताक्षर के वैध होने की पुष्टि हो जाने के बाद, आप आगे यह सत्यापित कर सकते हैं कि SHA256 योग डाउनलोड किए गए आर्टिफ़ैक्ट से मेल खाते हैं:

   sha256sum --ignore-missing -c trufflehog_{version}_checksums.txt
   

{version} को डाउनलोड की गई फ़ाइलों के संस्करण से बदलें

वैकल्पिक रूप से, यदि आप इंस्टॉलेशन स्क्रिप्ट का उपयोग कर रहे हैं, तो हस्ताक्षर सत्यापन करने के लिए -v विकल्प पास करें। इसके लिए इंस्टॉलेशन स्क्रिप्ट चलाने से पहले Cosign बाइनरी इंस्टॉल होना आवश्यक है।

🚀 त्वरित शुरुआत

1: किसी रेपो को केवल सत्यापित सीक्रेट्स के लिए स्कैन करें

कमांड:

trufflehog git https://github.com/trufflesecurity/test_keys --results=verified

Expected output:

🐷🔑🐷  TruffleHog. Unearth your secrets. 🐷🔑🐷

Found verified result 🐷🔑
Detector Type: AWS
Decoder Type: PLAIN
Raw result: AKIAYVP4CIPPERUVIFXG
Line: 4
Commit: fbc14303ffbf8fb1c2c1914e8dda7d0121633aca
File: keys
Email: counter <[email protected]>
Repository: https://github.com/trufflesecurity/test_keys
Timestamp: 2022-06-16 10:17:40 -0700 PDT
...

2: केवल सत्यापित secrets के लिए GitHub Org को स्कैन करें

trufflehog github --org=trufflesecurity --results=verified

3: संग्रहीत रिपॉज़िटरी को छोड़कर GitHub Org को स्कैन करें

trufflehog github --org=trufflesecurity --exclude-archived