OWASP SecretSifter

SecretSifter 是一个 OWASP 孵化器项目，用于发现 Web 应用程序实际发送到浏览器的内容中暴露的凭据：JavaScript 打包文件、配置响应以及其他实时内容。

部署前的密钥扫描针对源代码进行。有些凭据仅在构建时或运行时才被引入，因此它们永远不会出现在被扫描的代码仓库中。SecretSifter 会检查到达浏览器的流量，并报告每个发现及其位置和证据，供测试人员评估。

版本

版本	获取方式	源码
Burp Suite 扩展	从源码构建	burp-extension/（MIT）
带 AI 分类和 MCP 的 Burp Suite 扩展	从源码构建	burp-mcp/（MIT）
Chrome 扩展	Chrome 应用商店	即将推出（MIT，已在路线图中）
Firefox 扩展	Firefox 附加组件	即将推出（MIT，已在路线图中）
桌面应用（macOS、Windows）	Releases	即将推出（MIT，已在路线图中）
InsecureShield 练习靶场（仅含合成凭据）	secretsifter/insecureshield-demo	MIT

两个 Burp 版本均使用 ./gradlew shadowJar 构建（Java 17+）。每个文件夹都有自己的 README，包含构建和安装步骤。

研究

• H. Gorijala, "Secrets That Survive Everything: Runtime Credential Exposure in Production Web Applications," IEEE Access, 2026. https://doi.org/10.1109/ACCESS.2026.3734984
• H. Gorijala, "SecretSifter: A Runtime Secret-Detection Engine for Live Web Traffic," SoftwareX, vol. 36, 103087, 2026. https://doi.org/10.1016/j.softx.2026.103087

负责任的使用

仅扫描你拥有或获授权测试的应用程序。如果你发现有效凭据，请上报以便轮换，切勿公开其值。

贡献

欢迎提交 issue 和 pull request，尤其是带有针对真阳性和假阳性测试用例的新检测规则。

贡献需在 Developer Certificate of Origin 下接受。使用 git commit -s 为每个提交签名。

项目负责人

• Hemanth Gorijala ([email protected])

项目页面：owasp.org/projects/secretsifter

许可证

源代码采用 MIT 许可证（见 LICENSE）。文档采用 CC BY-SA 4.0 许可证。