Supabase Hunter (OP Mode)

Продвинутый инструмент разведки и эксплуатации для экземпляров Supabase.

SupaHunter — это мощный Python-инструмент, предназначенный для выявления, анализа и эксплуатации неправильно сконфигурированных проектов Supabase. Он выходит за рамки простого перечисления таблиц, предлагая детальную проверку, извлечение ключей на основе Selenium и расширенные проверки повышения привилегий.

Ключевые возможности

• Расширенное обнаружение:
  • Инспекция OpenAPI: Автоматически загружает и разбирает /rest/v1/, чтобы составить карту всей схемы базы данных.
  • Перечисление RPC: Проверяет наличие скрытых RPC-функций (get_schema, exec_sql и т.д.).
  • Умный брутфорс: Использует SecLists (автоматически загружаемые) для поиска скрытых таблиц, если OpenAPI отключён.
• Интеграция Selenium:
  • Динамический анализ: Рендерит React/Next.js приложения для поиска ключей, скрытых в DOM или Runtime.
  • Сниффер трафика: Внедряет хук для перехвата запросов fetch/XHR и извлечения заголовков apikey и Authorization на лету.
• Проверка обхода RLS:
  • Выполняет РЕАЛЬНЫЕ POST, PATCH и DELETE запросы (в безопасном режиме), чтобы проверить, действительно ли применяется Row Level Security или это лишь видимость.
• Realtime-слушатель:
  • Подключается к Supabase Realtime (Phoenix V2) для перехвата живых потоков данных (события INSERT, UPDATE).
• SERVICE MODE (сервисная роль):
  • Автоматически обнаруживает ключи service_role.
  • Admin Dump: Скачивает auth.users (email, хэши, если возможно), Storage Buckets и многое другое.
• Поддержка мультитенантности:
  • Обрабатывает сайты, использующие несколько проектов Supabase одновременно.
• Полный дамп данных:
  • Экспортирует всё в чистую базу данных SQLite (dump.db) и/или CSV-файлы.
  • Скачивает файлы из публичных/приватных Storage Buckets.

Установка

1. Клонируйте репозиторий:

   root@kitploit:~

   git clone https://github.com/proxydom/supahunter.git
   cd supahunter
   

2. Установите зависимости:

   root@kitploit:~

   pip install -r requirements.txt
   

   (Требуются requests, selenium, webdriver-manager, websockets)

3. Установите Firefox (для Selenium): Инструмент использует Firefox Headless. Убедитесь, что он установлен (хотя он должен скачать его автоматически).

Использование

Базовое сканирование

Сканирование одного URL-адреса на предмет открытых ключей и таблиц.

python3 supahunter.py https://target.com

Массовое сканирование (ввод из файла)

Сканирование списка URL-адресов с включённым Selenium и сохранение результатов в SQLite.

python3 supahunter.py -f targets.txt --selenium --sqlite --download-files

Ручные учётные данные

Если у вас уже есть URL API и ключ, используйте их напрямую (работает и с ключами service_role!).

python3 supahunter.py --manual-url https://xyz.supabase.co --manual-key eyJ... ---manual-url projectid.supabase.com

Авторизованное сканирование (повышение привилегий)

Укажите JWT-токен пользователя (или учётные данные), чтобы проверить обход RLS для авторизованных пользователей.

python3 supahunter.py https://target.com --token "eyJ..."

Или позвольте инструменту попытаться автоматически зарегистрироваться: --email [email protected] --password Hunter123!

God Mode (сервисный ключ)

Если обнаружен ключ service_role, инструмент автоматически переключается в SERVICE MODE, выполняя дамп auth.users, журналов аудита и всех storage-бакетов.

Параметры

⚠️ Предупреждение

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования безопасности. Доступ или изменение данных без разрешения незаконны. Автор не несёт ответственности за любое неправомерное использование.

Удачной охоты и оставайтесь в рамках закона, ребята :)