git-wild-hunt

Uno strumento per cacciare le credenziali nel selvaggio GitHub, altrimenti noto come git*hunt

Per iniziare

1. Installa lo strumento
2. Configura il tuo token GitHub
3. Cerca le credenziali
4. Vedi i risultati cat results.json | jq

📺 Demo

Installazione

• requisiti: virtualenv, python3

1. git clone https://github.com/d1vious/git-wild-hunt && cd git-wild-hunt clona il progetto e entra nella directory del progetto
2. pip install virtualenv && virtualenv -p python3 venv && source venv/bin/activate && pip install -r requirements.txt crea virtualenv e installa i requisiti

Continua a configurare una chiave API di GitHub

Configurazione git-wild-hunt.conf

Assicurati di impostare un token GitHub; se devi crearne uno per il tuo account, segui queste istruzioni.

[global]
github_token = ''
# GitHub token for searching

output = results.json
# stores matches in JSON here

log_path = git-wild-hunt.log
# Sets the log_path for the logging file

log_level = INFO
# Sets the log level for the logging
# Possible values: INFO, ERROR

regexes = regexes.json
# regexes to check the git wild hunt search against

Esempi di ricerca su GitHub

il flag -s accetta qualsiasi query di ricerca avanzata di GitHub; vedi alcuni esempi qui sotto

Trova file token JWT GCP

python git-wild-hunt.py -s "extension:json filename:creds language:JSON"

Trova segreti API AWS

python git-wild-hunt.py -s "path:.aws/ filename:credentials"

Trova token JWT Azure

python git-wild-hunt.py -s "extension:json path:.azure filename:accessTokens language:JSON"

Trova configurazioni GSUtils

python git-wild-hunt.py -s "path:.gsutil filename:credstore2"

Trova file di configurazione Kubernetes

python git-wild-hunt.py -s "path:.kube filename:config"

Cerca file credentials.xml di Jenkins

python git-wild-hunt.py -s "extension:xml filename:credentials.xml language:XML"

Trova segreti in .circleci

python git-wild-hunt.py -s "extension:yml path:.circleci filename:config language:YAML"

Ricerca generica di credentials.yml

python git-wild-hunt.py -s "extension:yml filename:credentials.yml language:YAML"

Utilizzo

usage: git-wild-hunt.py [-h] -s SEARCH [-c CONFIG] [-v]

optional arguments:
  -h, --help            show this help message and exit
  -s SEARCH, --search SEARCH
                        search to execute
  -c CONFIG, --config CONFIG
                        config file path
  -v, --version         shows current git-wild-hunt version

Quali controlli vengono eseguiti regexes.json

Questo file contiene tutte le regex che verranno utilizzate per controllare il contenuto grezzo restituito per una ricerca. Sentiti libero di aggiungere/modificare e includere qualsiasi regex specifica che corrisponda alla credenziale che stai cercando di trovare. Questo è stato gentilmente preso in prestito da truffleHog

Credenziali attualmente verificate tramite regex:

• Chiave API AWS
• ID chiave di accesso Amazon AWS
• Token di autenticazione Amazon MWS
• Token di accesso Facebook
• OAuth Facebook
• Chiave API generica
• Segreto generico
• GitHub
• Account di servizio Google (GCP)
• Chiave API Google
• Chiave API Google Cloud Platform
• OAuth Google Cloud Platform
• Chiave API Google Drive
• OAuth Google Drive
• Chiave API Google Gmail
• OAuth Google Gmail
• Token di accesso OAuth Google
• Chiave API Google YouTube
• OAuth Google YouTube
• Chiave API Heroku
• Chiave API MailChimp
• Chiave API Mailgun
• Blocco di chiave privata PGP
• Password in URL
• Token di accesso PayPal Braintree
• Chiave API Picatic
• Chiave privata RSA
• Chiave privata SSH (DSA)
• Chiave privata SSH (EC)
• Token Slack
• Webhook Slack
• Token di accesso Square
• Segreto OAuth Square
• Chiave API Stripe
• Chiave API Stripe limitata
• Chiave API Twilio
• Token di accesso Twitter
• OAuth Twitter

Autore

• Jose Hernandez @_josehelps

Collaboratore

• Rod Soto @rodsoto

Crediti e Riferimenti

L'ispirazione per scrivere questo strumento è venuta dal progetto shhgit

DA FARE

• migliore gestione degli errori