gimmepatz

😼 gimmePATz 😼 - 个人访问令牌（PAT）侦察工具

你是否曾经发现过 GitHub 或 NPM 的个人访问令牌（PAT），并好奇「这个有效吗？」或「我想知道坏人能用它做什么？」如果答案是肯定的，那么我为你准备了这款工具！

隆重推出 gimmePatz——一款全面的 PAT 侦察工具。gimmePATz 会告诉你某个 PAT 是否有效，以及它是哪种类型的 PAT。它会提供创建该 PAT 的用户账户信息，包括该用户加入了哪些组织，以及有多少关注者。gimmePATz 会展示某个 PAT 拥有哪些作用域，以及该 PAT 可以访问哪些变量或机密。gimmePATz 还会列出该 PAT 关联的仓库、NPM 软件包或 GitHub 组织，并准确告诉你该 PAT 对每个资源拥有哪些权限。这款工具专为进攻性安全从业人员设计，例如漏洞赏金猎人、渗透测试人员和红队。使用此工具即表示你同意在合法的情况下使用它。

你可以让 gimmePATz 指向一个文件，它会找出该文件中的所有 PAT，并告诉你它们是否有效。gimmepatz 还支持 JSON 输出，因此你可以将输出保存为 JSON，和/或将 gimmePATz 的输出通过管道传递给 jq 等其他工具。你可以在下面的「高级用法」部分看到使用 gimmePATz 的不同方式示例。

功能特性

• 🔍 令牌验证 - 验证你发现的 GitHub 或 NPM PAT 是否有效，以及它可以访问什么？
• 🔑 权限分析 - 详细分解令牌作用域并附说明
• 👤 用户信息 - 关于创建该 PAT 的用户的详细信息
• 📁 仓库发现 - 查找与此 PAT 关联的所有仓库
• ☢️ 枚举变量与机密 - 识别该 PAT 可以访问的任何 GitHub 变量或机密
• 📋 JSON 输出 - 用于自动化的机器可读格式
• 🔒 隐私区分 - 清晰区分私有仓库和公共仓库
• 🏢 组织支持 - 告诉你哪些组织与此 PAT 关联
• ⬇️ 下载仓库/软件包 - 下载发现的文件和仓库

基本用法

gimmepatz.py TOKEN

前置要求

• Python 3.6+
• requests 库 # pip install requests
• git（用于下载仓库）

高级用法

# Discover secrets and variables
gimmepatz.py TOKEN --variables

# Include organization repositories
gimmepatz.py TOKEN --org GITHUB_ORGANIZATION

# JSON output for scripting
gimmepatz.py TOKEN --json

# Combined: organization repos + JSON output
gimmepatz.py TOKEN --org GITHUB_ORGANIZATION --json

# Save the output of gimmePATz in JSON output to a file
gimmepatz.py TOKEN --variables --org target-org --json > assessment.json

# Download all accessible repositories
gimmepatz.py TOKEN --download

# Download only private repositories
gimmepatz.py TOKEN --download --download-type private

# Custom download location
gimmepatz.py TOKEN --download --download-path ./target-repos

# Scan a file to see if it has any PATs in it
gimmepatz.py --scan ./example-file.json

安装

克隆或下载脚本

git clone https://github.com/6mile/gimmepatz.git
cd ./gimmepatz/ && chmod u+x ./gimmepatz.py

命令行选项

输出示例

       _                         ______  ___ _____
      (_)                        | ___ \/ _ \_   _|
  __ _ _ _ __ ___  _ __ ___   ___| |_/ / /_\ \| |____
 / _` | | '_ ` _ \| '_ ` _ \ / _ \  __/|  _  || |_  /
| (_| | | | | | | | | | | | |  __/ |   | | | || |/ /
 \__, |_|_| |_| |_|_| |_| |_|\___\_|   \_| |_/\_/___|
  __/ |
 |___/             "Personal Access Token recon tool"
 ----------------------------------------------------
                                           by @6mile

✅ 令牌有效

👤 认证用户：octocat 姓名：Octocat Maclean 账户类型：用户 公共仓库数：4 私有仓库数：3 关注者：9714 正在关注：731

🏢 组织成员身份（共 2 个）： 👤 Space-Force-Beta（成员） 名称：Space-Force-Beta 描述：为太空打造酷炫的东西 公共仓库数：2 私有仓库数：1 URL：https://github.com/Space-Force-Beta

👑 ThrifyBank（管理员） 描述：堪萨斯州最节俭的新银行！ 公共仓库数：1 私有仓库数：5 URL：https://github.com/thrifybank-kansas

🔑 令牌作用域（共 14 个）： • codespace:secrets • notifications • read:audit_log • read:discussion • read:enterprise • read:org • read:packages • read:project • read:public_key • read:repo_hook • read:user • repo • user:email • workflow

作用域说明：

repo：完全访问仓库 user：访问用户个人资料信息 notifications：访问通知

📊 速率限制状态： 限制：5000 剩余：4999 重置时间：1234567890

📁 可访问的仓库： 发现 25 个可访问的仓库： • 15 个私有仓库 • 10 个公共仓库

🔒 私有仓库（9 个）：

📂 octocat（3 个私有仓库）： • octocat/internal-api（管理员） • octocat/database（管理员） • octocat/external-api（管理员）

📂 Space-Force-Beta（1 个私有仓库）： • Space-Force-Beta/destrukto-beam（管理员）

📂 ThriftyBank（5 个私有仓库）： • thriftybank-kansas/web（管理员） • thriftybank-kansas/docker（管理员） • thriftybank-kansas/database-int（管理员） • thriftybank-kansas/bank-vault（管理员） • thriftybank-kansas/SAAS-PORTAL（管理员）

🔓 公共仓库（7 个）：

📂 octocat（4 个公共仓库）： • octocat/sdk（管理员） • octocat/helpdesk-docs（管理员） • octocat/aws-sdk-helpers（管理员） • octocat/stinkyCaptain（管理员）

📂 Space-Force-Beta（1 个公共仓库）： • Space-Force-Beta/destrukto-beam（管理员）

📂 thrifybank-kansas（1 个公共仓库）： • thrifybank-kansas/node-restify（管理员）

JSON 输出

{
  "token_valid": true,
  "user_info": {
    "login": "octocat",
    "name": "The Octocat",
    "type": "User",
    "id": 1
  },
  "scopes": ["repo", "user", "notifications"],
  "rate_limit": {
    "limit": 5000,
    "remaining": 4999,
    "reset": 1234567890
  },
  "repositories": {
    "total": 25,
    "private": [
      {
        "name": "mycompany/internal-api",
        "owner": "mycompany",
        "permissions": {
          "admin": true,
          "push": true,
          "pull": true
        },
        "url": "https://github.com/mycompany/internal-api"
      }
    ],
    "public": [
      {
        "name": "octocat/awesome-project",
        "owner": "octocat",
        "permissions": {
          "admin": true,
          "push": true,
          "pull": true
        },
        "url": "https://github.com/octocat/awesome-project"
      }
    ]
  },
  "summary": {
    "total_repos": 25,
    "private_count": 15,
    "public_count": 10,
    "owners": ["mycompany", "octocat"]
  }
}

令牌作用域参考

安全最佳实践

1. 切勿将令牌提交到版本控制
2. 对令牌使用环境变量
   root@kitploit:~

   export TOKEN="your_token_here"
   gimmepatz.py "$TOKEN"
   

3. 使用此工具定期审计你的令牌
4. 为每个令牌使用最小必需作用域
5. 尽可能为你的令牌设置过期时间
6. 作为安全卫生的一部分，定期轮换令牌

故障排查

常见问题

"无效的令牌或网络错误"

• 确认你的令牌正确且处于激活状态
• 检查网络连接
• 确保令牌未过期

"未找到仓库"

• 令牌的作用域可能有限
• 用户可能无权访问任何仓库
• 检查是否需要使用 --org 包含组织仓库

超出速率限制

• 等待速率限制重置
• 使用经过身份验证的请求（此工具会自动执行）
• 在输出中查看速率限制状态

错误代码

• 200：成功
• 401：凭据错误（令牌无效）
• 403：超出速率限制或权限不足
• 404：资源未找到（用户/组织不存在）

贡献指南

欢迎贡献！请随时提交 Pull Request。对于重大更改，请先打开一个 issue 讨论你想要更改的内容。

许可证

本项目采用 MIT 许可证授权 - 详情请参阅 LICENSE 文件。

更新日志

v0.1.0

• 初始发布
• 令牌验证与作用域分析
• 支持隐私区分的仓库发现
• 用于自动化的 JSON 输出
• 组织仓库支持
• ASCII 艺术标识

v0.3.0

• 新增 NPM 令牌验证
• 新增 GitHub 变量与机密检测
• 新增通过 --download 下载所发现仓库的能力

由 @6mile 用 ❤️ 为我的 offsec 伙伴们制作