dora

Recursos

• Extremamente rápido, pois usamos ripgrep no backend
• Etapas de exploração/PoC para muitas das chaves de API, permitindo escrever um bom relatório para caça a bugs
• Diferente de muitos outros localizadores de chaves de API, o dora também mostra o caminho para o arquivo e a linha com contexto para uma análise mais fácil
• Pode ser facilmente implementado em scripts. Veja Casos de Uso Exemplo

Instalação

Certifique-se de instalar o ripgrep

# clone the repo
$ git clone https://github.com/sdushantha/dora.git

# change the working directory to dora
$ cd dora 

# install dora
$ python3 setup.py install --user

Uso

$ dora --help
usage: dora [options]

positional arguments:
  PATH                  Path to directory or file to scan

optional arguments:
  -h, --help            show this help message and exit
  --rg-path RG_PATH     Specify path to ripgrep
  --rg-arguments RG_ARGUMENTS
                        Arguments you want to provide to ripgrep
  --json JSON           Load regex data from a valid JSON file (default: db/data.json)
  --verbose, -v, --debug, -d
                        Display extra debugging information
  --no-color            Don't show color in terminal output

Casos de Uso Exemplo

1. Decompile um APK usando apktool e execute dora para encontrar chaves de API expostas
2. Escaneie repositórios do GitHub clonando-o e permitindo que o dora os escaneie
3. Ao fazer scraping de sites, execute dora para escanear chaves de API

Contribuindo

Você é mais que bem-vindo para contribuir de uma das seguintes formas:

• Adicionar ou melhorar expressões regulares existentes para corresponder chaves de API
• Adicionar ou melhorar as info nos dados JSON para uma chave de API para ajudar melhor o usuário a obter um relatório de bug bounty válido ao relatar uma chave de API que encontrou
• Corrigir bugs (por favor, evite criar bugs)

Créditos

Criador original - Siddharth Dushantha

Muitas das expressões regulares foram retiradas dos seguintes repositórios do GitHub:

• truffleHogRegexes por dxa4481
• secretx por harry1080
• gitGraber por hisxo
• shhgit por eth0izzle
• w13scan por w-digital-scanner
• SecretFinder por m4ll0k
• nuclei-templates por projectdiscovery
• AdvancedKeyHacks por udit-thakkur
• pentest-tools por gwen001
• gitleaks por zricethezav
• dalfox por hahwul

A maioria dos métodos de exploração/POC foram retirados do repositório keyhacks por streaak