gitrecon

GithubまたはGitlabのプロファイルから情報を取得し、コミットに漏洩したユーザーのメールアドレスを見つけるOSINTツール。

📚 仕組み

GitHubは、GitHubアカウントに関連付けられたメールアドレスを使用して、コミットやその他のアクティビティをGitHubプロファイルにリンクします。ユーザーが公開リポジトリにコミットすると、そのメールアドレスは通常コミットに公開され、知っていれば誰でもアクセスできるようになります。

GitHubはこれを防ぐための手順を提供していますが、ほとんどのGitHubユーザーは自分のメールアドレスが公開される可能性があることを知らないか、気にしていないようです。

GitHubユーザーのメールアドレスを見つけるのは、多くの場合、GitHub APIを介してそのユーザーの最近のイベントを確認するだけで済みます。

アイデアとテキスト提供元: Nick Drewe

ソース: https://thedatapack.com/tools/find-github-user-email/

❗ 免責事項

@pielco11が警告しているように、メールやその他のデータはコミットで偽装される可能性があります。

✔️ 前提条件

• Python 3

🛠️ インストール

git clone https://github.com/GONZOsint/gitrecon.git
cd gitrecon/
python3 -m pip install -r requirements.txt

modules/github_recon.pyファイルの3行目を編集することで、Githubアクセストークンを使用することができます。これにより、APIの禁止を防ぐことができます。

modules/gitlab_recon.pyファイルの3行目を編集することで、Gitlabアクセストークンを使用することができます。これにより、APIの禁止を防ぐことができます。

token = '<Access token here>'

🔎 使い方

usage: gitrecon.py [-h] -s {github,gitlab} [-a] [-o] username

positional arguments:
  username

optional arguments:
  -h, --help          show this help message and exit
  -s {github,gitlab}  sites selection
  -a, --avatar        download avatar pic
  -o, --output        save output

結果はresults/<username>/パスに保存されます。

⚔️ 機能

• GitlabとGithubのコミットに漏洩したメールアドレス

• GitlabとGithubのSSHキー

• GitlabとGithubのプロフィール情報

🔒 防止策

Githubでの設定:

• Settings url: https://github.com/settings/emails

  • ✔️ メールアドレスを非公開にする

  • ✔️ メールアドレスを公開するコマンドラインのプッシュをブロックする

Gitlabでの設定:

• Settings url: https://gitlab.com/-/profile

  • ✔️ 公開メール: プロフィールに表示しない

  • ✔️ コミットメール: プライベートメールを使用する