OWASP 인큐베이터 프로젝트: 브라우저로 전달되는 콘텐츠(JavaScript, 구성 응답, 실시간 트래픽)에 노출된 자격 증명을 탐지합니다.
SecretSifter는 웹 애플리케이션이 실제로 브라우저에 전달하는 콘텐츠, 즉 JavaScript 번들, 구성 응답 및 기타 라이브 콘텐츠에서 노출된 자격 증명을 찾아내는 OWASP 인큐베이터 프로젝트입니다.
배포 전 비밀 스캐닝은 소스 코드를 검사합니다. 일부 자격 증명은 빌드 시점이나 런타임에만 도입되어 스캔 대상 저장소에는 나타나지 않습니다. SecretSifter는 트래픽이 브라우저에 도달하는 시점에 이를 검사하고, 각 발견 사항을 위치 및 증거와 함께 보고하여 테스터가 평가할 수 있도록 합니다.
| 에디션 | 다운로드 | 소스 |
|---|---|---|
| Burp Suite 확장 | 소스에서 빌드 | burp-extension/ (MIT) |
| AI 트리아지 및 MCP가 포함된 Burp Suite 확장 | 소스에서 빌드 | burp-mcp/ (MIT) |
| Chrome 확장 | Chrome 웹 스토어 | 출시 예정 (MIT, 로드맵에 포함) |
| Firefox 확장 | Firefox 부가 기능 | 출시 예정 (MIT, 로드맵에 포함) |
| 데스크톱 앱 (macOS, Windows) | 릴리스 | 출시 예정 (MIT, 로드맵에 포함) |
| InsecureShield 연습 대상 (합성 자격 증명만 해당) | secretsifter/insecureshield-demo | MIT |
두 Burp 에디션 모두 ./gradlew shadowJar (Java 17+)로 빌드합니다. 각 폴더에는 빌드 및 설치 단계를 설명하는 자체 README가 있습니다.
소유하거나 테스트 권한이 있는 애플리케이션만 스캔하십시오. 라이브 자격 증명을 발견한 경우, 교체할 수 있도록 신고하고 그 값을 절대 공개하지 마십시오.
이슈와 풀 리퀘스트를 환영합니다. 특히 참 양성과 거짓 양성 모두에 대한 테스트 케이스가 포함된 새로운 탐지 규칙을 환영합니다.
기여는 Developer Certificate of Origin에 따라 접수됩니다. 각 커밋에 git commit -s로 서명하십시오.
프로젝트 페이지: owasp.org/projects/secretsifter
소스 코드는 MIT 라이선스입니다 (LICENSE 참조). 문서는 CC BY-SA 4.0 라이선스입니다.
