git-wild-hunt

Инструмент для поиска учетных данных в GitHub wild, также известный как git*hunt

Начало работы

1. Установите инструмент
2. Настройте свой токен GitHub
3. Выполните поиск учетных данных
4. Посмотрите результаты cat results.json | jq

📺 Демонстрация

Установка

• Требования: virtualenv, python3

1. git clone https://github.com/d1vious/git-wild-hunt && cd git-wild-hunt — клонируйте проект и перейдите в его каталог
2. pip install virtualenv && virtualenv -p python3 venv && source venv/bin/activate && pip install -r requirements.txt — создайте virtualenv и установите зависимости

Перейдите к настройке ключа API GitHub

Конфигурация git-wild-hunt.conf

Убедитесь, что вы установили токен GitHub. Если вам нужно создать его для своей учетной записи, следуйте этим инструкциям.

[global]
github_token = ''
# Токен GitHub для поиска

output = results.json
# Сохраняет совпадения в JSON сюда

log_path = git-wild-hunt.log
# Устанавливает путь к файлу журнала

log_level = INFO
# Устанавливает уровень журналирования
# Возможные значения: INFO, ERROR

regexes = regexes.json
# Регулярные выражения для проверки результатов поиска git-wild-hunt

Примеры поиска на GitHub

Флаг -s принимает любой расширенный поисковый запрос GitHub (advance search), см. примеры ниже.

Поиск файлов токенов GCP JWT

python git-wild-hunt.py -s "extension:json filename:creds language:JSON"

Поиск секретов AWS API

python git-wild-hunt.py -s "path:.aws/ filename:credentials"

Поиск токена Azure JWT

python git-wild-hunt.py -s "extension:json path:.azure filename:accessTokens language:JSON"

Поиск конфигураций GSUtils

python git-wild-hunt.py -s "path:.gsutil filename:credstore2"

Поиск конфигурационных файлов Kubernetes

python git-wild-hunt.py -s "path:.kube filename:config"

Поиск файла credentials.xml Jenkins

python git-wild-hunt.py -s "extension:xml filename:credentials.xml language:XML"

Поиск секретов в .circleci

python git-wild-hunt.py -s "extension:yml path:.circleci filename:config language:YAML"

Общий поиск credentials.yml

python git-wild-hunt.py -s "extension:yml filename:credentials.yml language:YAML"

Использование

usage: git-wild-hunt.py [-h] -s SEARCH [-c CONFIG] [-v]

optional arguments:
  -h, --help            показать это справочное сообщение и выйти
  -s SEARCH, --search SEARCH
                        поисковый запрос для выполнения
  -c CONFIG, --config CONFIG
                        путь к файлу конфигурации
  -v, --version         показывает текущую версию git-wild-hunt

Какие проверки выполняются regexes.json

Этот файл содержит все регулярные выражения, которые будут использоваться для проверки исходного содержимого, возвращаемого поиском. Не стесняйтесь добавлять/изменять и включать любые специфические выражения, соответствующие искомым учетным данным. Этот файл был любезно позаимствован из truffleHog

В настоящее время проверяемые учетные данные через regex:

• Ключ API AWS
• Идентификатор ключа доступа Amazon AWS
• Токен авторизации Amazon MWS
• Токен доступа Facebook
• OAuth Facebook
• Общий ключ API
• Общий секрет
• GitHub
• Сервисный аккаунт Google (GCP)
• Ключ API Google
• Ключ API Google Cloud Platform
• OAuth Google Cloud Platform
• Ключ API Google Drive
• OAuth Google Drive
• Ключ API Google Gmail
• OAuth Google Gmail
• Токен доступа OAuth Google
• Ключ API Google YouTube
• OAuth Google YouTube
• Ключ API Heroku
• Ключ API MailChimp
• Ключ API Mailgun
• Блок закрытого ключа PGP
• Пароль в URL
• Токен доступа PayPal Braintree
• Ключ API Picatic
• Закрытый ключ RSA
• Закрытый ключ SSH (DSA)
• Закрытый ключ SSH (EC)
• Токен Slack
• Webhook Slack
• Токен доступа Square
• Секрет OAuth Square
• Ключ API Stripe
• Ограниченный ключ API Stripe
• Ключ API Twilio
• Токен доступа Twitter
• OAuth Twitter

Автор

• Jose Hernandez @_josehelps

Участник

• Rod Soto @rodsoto

Благодарности и ссылки

Вдохновением для написания этого инструмента послужил проект shhgit

ПЛАНЫ

• улучшенная обработка ошибок