OWASP Incubator प्रोजेक्ट: ब्राउज़र-डिलीवर की गई सामग्री (JavaScript, कॉन्फ़िग प्रतिक्रियाएँ, लाइव ट्रैफ़िक) में उजागर क्रेडेंशियल्स का पता लगाता है।
SecretSifter एक OWASP Incubator प्रोजेक्ट है जो वेब एप्लिकेशन वास्तव में ब्राउज़र तक जो पहुँचाते हैं—JavaScript बंडल, कॉन्फ़िगरेशन प्रतिक्रियाएँ और अन्य लाइव सामग्री—उसमें उजागर क्रेडेंशियल्स को खोजता है।
प्री-डिप्लॉयमेंट सीक्रेट स्कैनिंग सोर्स कोड को देखती है। कुछ क्रेडेंशियल्स केवल बिल्ड टाइम या रनटाइम पर पेश किए जाते हैं, इसलिए वे स्कैन किए जा रहे रिपॉज़िटरी में कभी दिखाई नहीं देते। SecretSifter ट्रैफ़िक की जाँच करता है जैसे ही वह ब्राउज़र तक पहुँचता है और प्रत्येक निष्कर्ष को उसके स्थान और साक्ष्य के साथ रिपोर्ट करता है ताकि परीक्षक मूल्यांकन कर सके।
| संस्करण | प्राप्त करें | स्रोत |
|---|---|---|
| Burp Suite एक्सटेंशन | सोर्स से बिल्ड करें | burp-extension/ (MIT) |
| AI ट्राइएज और MCP के साथ Burp Suite एक्सटेंशन | सोर्स से बिल्ड करें | burp-mcp/ (MIT) |
| Chrome एक्सटेंशन | Chrome Web Store | जल्द आ रहा है (MIT, रोडमैप पर) |
| Firefox एक्सटेंशन | Firefox Add-ons | जल्द आ रहा है (MIT, रोडमैप पर) |
| डेस्कटॉप ऐप (macOS, Windows) | Releases | जल्द आ रहा है (MIT, रोडमैप पर) |
| InsecureShield अभ्यास लक्ष्य (केवल सिंथेटिक क्रेडेंशियल्स) | secretsifter/insecureshield-demo | MIT |
दोनों Burp संस्करण ./gradlew shadowJar (Java 17+) से बिल्ड होते हैं। प्रत्येक फ़ोल्डर का अपना README है जिसमें बिल्ड और इंस्टॉल के चरण दिए गए हैं।
केवल उन एप्लिकेशन्स को स्कैन करें जिनके आप मालिक हैं या जिनका परीक्षण करने के लिए आप अधिकृत हैं। यदि आपको कोई लाइव क्रेडेंशियल मिलता है, तो इसे रिपोर्ट करें ताकि इसे रोटेट किया जा सके, और इसका मान कभी प्रकाशित न करें।
Issues और pull requests का स्वागत है, विशेष रूप से नए डिटेक्शन नियम जिनमें true और false positives दोनों के लिए टेस्ट केस हों।
योगदान Developer Certificate of Origin के अंतर्गत स्वीकार किए जाते हैं। प्रत्येक commit पर git commit -s के साथ sign off करें।
प्रोजेक्ट पेज: owasp.org/projects/secretsifter
सोर्स कोड MIT के अंतर्गत लाइसेंस प्राप्त है (देखें LICENSE)। दस्तावेज़ीकरण CC BY-SA 4.0 के अंतर्गत लाइसेंस प्राप्त है।
