CredsHunter

credshunter는 승인된 사후 침투(post-exploitation)를 위한 읽기 전용 자격 증명 탐색기입니다. 호스트를 한 번 훑어 실제로 재사용할 수 있는 비밀번호, 키, 해시, 자격 증명 파일을 표면화하며, 소음만 더하는 클라우드/SaaS 토큰은 조용히 건너뜁니다.

두 개의 자매 스크립트, 하나의 동작: Linux용 credshunter.sh, Windows용 credshunter.ps1.

작동 방식

자격 증명이 어디에 있는지에서 파일 내부에 무엇이 있는지로 범위를 좁히는 5단계 깔때기입니다. 각 단계는 완료되는 즉시 발견 결과를 출력합니다.

 Stage 1   OS credential stores     registry · GPP · histories · vaults · keys · other
 Stage 2   Confirmed containers     .kdbx · .ppk · .pfx · .keytab · other
 Stage 3   High-value file types    keys · .env · backups · DBs · captures · other
 Stage 4   Suspicious filenames     *password* · *secret* · *credential*
 Stage 5   Content scan             70+ tuned regexes, one pass per file

1단계와 5단계가 핵심 작업을 수행하며, 2~4단계는 빠른 파일명/확장자 검사입니다. 모든 발견 항목은 사용자에게 도달하기 전에 오탐(false-positive) 필터를 통과합니다.

사용법

# Linux — full sweep, log to file
./credshunter.sh -p / -o loot.txt

# Targeted, skip the slow content scan
./credshunter.sh -p /var/www -p /home --no-stage5

# Windows — elevated sweep of C:\
.\credshunter.ps1 -Path C:\ -OutputFile loot.txt

# Web / DB box: also scan SQL & CSV dumps
.\credshunter.ps1 -Path D:\ -IncludeData

파이프라인 친화적 — --no-color / -NoColor를 추가하고 티어(tier)로 grep하세요.

출력

발견 항목은 가장 중요한 순서대로 5개 티어로 그룹화됩니다.

CRITICAL / HIGH / KEY에 해당하는 항목이 발견되면 종료 코드는 1입니다 — CI에 유용합니다: ./credshunter.sh -p /etc && echo clean.

튜닝

패턴과 파일 유형 목록은 각 스크립트 상단 근처에 명확하게 표시된 배열에 있습니다 — 한 곳만 수정하면 다른 것은 필요 없습니다.

FAQ

호스트에서 무엇인가 변경하나요? 아니요. 선택한 로그 파일에만 기록하고 네트워크에는 절대 접촉하지 않으며 Ctrl-C로 깨끗하게 종료됩니다.

왜 AWS / GitHub / Slack 토큰은 무시하나요? 설계상 의도입니다 — 네트워크 내 이동에 거의 도움이 되지 않고 오탐의 가장 큰 원인이기 때문입니다. 로컬 클라우드-CLI 자격 증명 파일은 여전히 나열됩니다.

5단계가 느리게 느껴지거나 비밀번호가 누락되었습니다. 일반적으로 상세(verbose) 로그가 원인이며, 크기 상한에 의해 제한됩니다. -p로 범위를 좁히고, --no-stage5로 콘텐츠 검색을 건너뛰고, 대상이 크기 상한을 초과하지 않았는지, 제외 경로에 있지 않은지, 또는 5단계 확장자 집합 밖의 확장자가 아닌지 확인하세요(확실히 하려면 -All 사용).

Wiki

프로젝트에 대한 자세한 내용은 Wiki 문서를 확인하세요.

기여

프로젝트에 자유롭게 기여해 주세요!