SCMKit

विवरण

सोर्स कोड मैनेजमेंट अटैक टूलकिट - SCMKit एक टूलकिट है जिसका उपयोग SCM सिस्टम पर हमला करने के लिए किया जा सकता है। SCMKit उपयोगकर्ता को SCM सिस्टम और उपयोग करने के लिए अटैक मॉड्यूल निर्दिष्ट करने की अनुमति देता है, साथ ही संबंधित SCM सिस्टम के लिए मान्य क्रेडेंशियल (उपयोगकर्ता नाम/पासवर्ड या API कुंजी) निर्दिष्ट करता है। वर्तमान में, SCMKit द्वारा समर्थित SCM सिस्टम GitHub Enterprise, GitLab Enterprise और Bitbucket Server हैं। समर्थित अटैक मॉड्यूल में रिकॉनिसेंस, प्रिविलेज एस्केलेशन और पर्सिस्टेंस शामिल हैं। SCMKit को मॉड्यूलर दृष्टिकोण में बनाया गया था, ताकि भविष्य में सूचना सुरक्षा समुदाय द्वारा नए मॉड्यूल और SCM सिस्टम जोड़े जा सकें।

रिलीज़

• SCMKit का संस्करण 1.2 रिलीज़ में पाया जा सकता है

विषय सूची

• SCMKit
• विषय सूची
• इंस्टॉलेशन/बिल्डिंग
  • उपयोग की गई लाइब्रेरी
  • प्री-कंपाइल्ड
  • स्वयं बिल्डिंग
• उपयोग
  • तर्क/विकल्प
  • सिस्टम
  • मॉड्यूल
  • मॉड्यूल विवरण तालिका
• उदाहरण
  • रिपॉजिटरी सूची
  • रिपॉजिटरी खोजें
  • कोड खोजें
  • फ़ाइलें खोजें
  • स्निपेट सूची
  • रनर सूची
  • गिस्ट सूची
  • संगठन सूची
  • API कुंजी के विशेषाधिकार प्राप्त करें
  • एडमिन जोड़ें
  • एडमिन हटाएं
  • एक्सेस टोकन बनाएं
  • एक्सेस टोकन सूची
  • एक्सेस टोकन हटाएं
  • SSH कुंजी बनाएं
  • SSH कुंजी सूची
  • SSH कुंजी हटाएं
  • एडमिन स्टैट्स सूची
  • ब्रांच प्रोटेक्शन सूची
• डिटेक्शन
• संदर्भ

इंस्टॉलेशन/बिल्डिंग

उपयोग की गई लाइब्रेरी

इस प्रोजेक्ट में निम्नलिखित तृतीय-पक्ष लाइब्रेरी का उपयोग किया गया है।

लाइब्रेरी	URL	लाइसेंस
Octokit	https://github.com/octokit/octokit.net	MIT License
Fody	https://github.com/Fody/Fody	MIT License
GitLabApiClient	https://github.com/nmklotas/GitLabApiClient	MIT License
Newtonsoft.Json	https://github.com/JamesNK/Newtonsoft.Json	MIT License

प्री-कंपाइल्ड

• रिलीज़ में प्री-कंपाइल्ड बाइनरी का उपयोग करें

स्वयं बिल्डिंग

प्रोजेक्ट को स्वयं संकलित करने के लिए Visual Studio सेटअप करने हेतु नीचे दिए गए चरणों का पालन करें। इसके लिए .NET लाइब्रेरी की आवश्यकता है जिसे NuGet पैकेज मैनेजर से स्थापित किया जा सकता है।

• Visual Studio प्रोजेक्ट लोड करें और "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" पर जाएं
• "NuGet Package Manager" --> "Package Sources" पर जाएं
• URL https://api.nuget.org/v3/index.json के साथ एक पैकेज स्रोत जोड़ें
• नीचे दिए गए NuGet पैकेज स्थापित करें
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package Octokit
  • Install-Package GitLabApiClient
  • Install-Package Newtonsoft.Json
• अब आप प्रोजेक्ट स्वयं बना सकते हैं!

उपयोग

तर्क/विकल्प

• -c, -credential - प्रमाणीकरण के लिए क्रेडेंशियल (username:password या apiKey)
• -s, -system - हमला करने का सिस्टम (github,gitlab,bitbucket)
• -u, -url - GitHub Enterprise, GitLab Enterprise या Bitbucket Server के लिए URL
• -m, -module - चलाने के लिए मॉड्यूल
• -o, -option - विकल्प (जहाँ लागू हो)

सिस्टम (-s, -system)

• github: GitHub Enterprise
• gitlab: GitLab Enterprise
• bitbucket: Bitbucket Server

मॉड्यूल (-m, -module)

• listrepo: वर्तमान उपयोगकर्ता सभी रिपॉजिटरी सूचीबद्ध करें जो देख सकता है
• searchrepo: दिए गए रिपॉजिटरी की खोज करें
• searchcode: कीवर्ड खोज शब्द वाले कोड की खोज करें
• searchfile: कीवर्ड खोज शब्द वाली फ़ाइलनाम की खोज करें
• listsnippet: वर्तमान उपयोगकर्ता के सभी स्निपेट सूचीबद्ध करें
• listrunner: वर्तमान उपयोगकर्ता के लिए उपलब्ध सभी GitLab रनर सूचीबद्ध करें
• listgist: वर्तमान उपयोगकर्ता के सभी गिस्ट सूचीबद्ध करें
• listorg: वर्तमान उपयोगकर्ता जिन सभी संगठनों का सदस्य है उन्हें सूचीबद्ध करें
• privs: वर्तमान API टोकन के विशेषाधिकार प्राप्त करें
• addadmin: दिए गए उपयोगकर्ता को एडमिन भूमिका में पदोन्नत करें
• removeadmin: दिए गए उपयोगकर्ता को एडमिन भूमिका से हटाएं
• createpat: लक्ष्य उपयोगकर्ता के लिए व्यक्तिगत एक्सेस टोकन बनाएं
• listpat: लक्ष्य उपयोगकर्ता के लिए व्यक्तिगत एक्सेस टोकन सूचीबद्ध करें
• removepat: लक्ष्य उपयोगकर्ता के लिए व्यक्तिगत एक्सेस टोकन हटाएं
• createsshkey: वर्तमान उपयोगकर्ता के लिए SSH कुंजी बनाएं
• listsshkey: वर्तमान उपयोगकर्ता के लिए SSH कुंजी सूचीबद्ध करें
• removesshkey: वर्तमान उपयोगकर्ता के लिए SSH कुंजी हटाएं
• adminstats: एडमिन स्टैट्स प्राप्त करें (उपयोगकर्ता, रिपॉजिटरी, संगठन, गिस्ट)
• protection: ब्रांच प्रोटेक्शन सेटिंग्स प्राप्त करें

मॉड्यूल विवरण तालिका

नीचे दी गई तालिका दर्शाती है कि प्रत्येक मॉड्यूल कहाँ समर्थित है

हमला परिदृश्य	मॉड्यूल	एडमिन चाहिए?	GitHub Enterprise	GitLab Enterprise	Bitbucket Server
रिकॉनिसेंस	listrepo	नहीं	X	X	X
रिकॉनिसेंस	searchrepo	नहीं	X	X	X
रिकॉनिसेंस	searchcode	नहीं	X	X	X
रिकॉनिसेंस	searchfile	नहीं	X	X	X
रिकॉनिसेंस	listsnippet	नहीं		X
रिकॉनिसेंस	listrunner	नहीं		X
रिकॉनिसेंस	listgist	नहीं	X
रिकॉनिसेंस	listorg	नहीं	X
रिकॉनिसेंस	privs	नहीं	X	X
रिकॉनिसेंस	protection	नहीं	X
पर्सिस्टेंस	listsshkey	नहीं	X	X	X
पर्सिस्टेंस	removesshkey	नहीं	X	X	X
पर्सिस्टेंस	createsshkey	नहीं	X	X	X
पर्सिस्टेंस	listpat	नहीं		X	X
पर्सिस्टेंस	removepat	नहीं		X	X
पर्सिस्टेंस	createpat	हाँ (केवल GitLab Enterprise)		X	X
प्रिविलेज एस्केलेशन	addadmin	हाँ	X	X	X
प्रिविलेज एस्केलेशन	removeadmin	हाँ	X	X	X
रिकॉनिसेंस	adminstats	हाँ	X

उदाहरण

रिपॉजिटरी सूची

उपयोग मामला

किसी विशेष SCM सिस्टम में उपयोग हो रही रिपॉजिटरी को खोजें

सिंटैक्स

listrepo मॉड्यूल, प्रासंगिक प्रमाणीकरण जानकारी और URL के साथ प्रदान करें। यह रिपॉजिटरी का नाम और URL आउटपुट करेगा।

GitHub Enterprise

यह सभी रिपॉजिटरी सूचीबद्ध करेगा जो एक उपयोगकर्ता देख सकता है।

SCMKit.exe -s github -m listrepo -c userName:password -u https://github.something.local

SCMKit.exe -s github -m listrepo -c apiKey -u https://github.something.local

GitLab Enterprise

यह सभी रिपॉजिटरी सूचीबद्ध करेगा जो एक उपयोगकर्ता देख सकता है।

SCMKit.exe -s gitlab -m listrepo -c userName:password -u https://gitlab.something.local

SCMKit.exe -s gitlab -m listrepo -c apiKey -u https://gitlab.something.local

Bitbucket Server

यह सभी रिपॉजिटरी सूचीबद्ध करेगा जो एक उपयोगकर्ता देख सकता है।

SCMKit.exe -s bitbucket -m listrepo -c userName:password -u https://bitbucket.something.local

SCMKit.exe -s bitbucket -m listrepo -c apiKey -u https://bitbucket.something.local

उदाहरण आउटपुट```

C:>SCMKit.exe -s gitlab -m listrepo -c username:password -u https://gitlab.hogwarts.local

================================================== Module: listrepo System: gitlab Auth Type: Username/Password Options: Target URL: https://gitlab.hogwarts.local

Timestamp: 1/14/2022 8:30:47 PM