BHEU 演示

此仓库包含三个用于 2025 年欧洲黑帽大会 《GitHub 上的取证轨迹：猎寻供应链活动》（https://blackhat.com/eu-25/briefings/schedule/index.html#the-forensic-trail-on-github-hunting-for-supply-chain-activity-48832）的演示。

1. potential_attacks_demo：一个 Flask Web 应用程序，演示如何基于公共 GitHub 数据流识别和调查攻击。
2. ghdig：一个用于调查 GitHub 活动的命令行工具。
3. gitthrunter：一个玩具工具，用于识别可疑的 GitHub 活动、进行丰富并渲染以便进一步调查。

potential_attacks_demo

运行演示

1. 导航到 potential_attacks_demo 目录：
   root@kitploit:~

   cd potential_attacks
   

2. 安装所需依赖：
   root@kitploit:~

   pip install -r requirements.txt
   

3. 启动 Flask 应用程序：
   root@kitploit:~

   flask run
   

4. 打开 Web 浏览器并访问 http://127.0.0.1:5000 查看演示。

ghdig

安装

1. 导航到 ghdig 目录：
   root@kitploit:~

   cd ghdig
   

2. 安装所需依赖：
   root@kitploit:~

   pip install -r requirements.txt
   

配置

ghdig 需要一个 GitHub 个人访问令牌才能与 GitHub API 交互。

1. 在 ghdig 目录中创建一个名为 .env 的文件。

2. 像这样将你的 GitHub 令牌添加到文件中：

   root@kitploit:~

   GITHUB_TOKEN=你的_github_令牌_在此
   

用法

该工具作为 Python 模块从项目的根目录运行。

python -m ghdig <命令> [选项]

命令

以下是可用命令及其使用示例：

• gist：处理 GitHub Gist。

  • 用法： python -m ghdig gist <gist_id_or_url>
  • 示例： python -m ghdig gist https://gist.github.com/mmvojwip/e9975a3a16acc492e3e7f677b6276cb2

• pr：处理 GitHub Pull Request。

  • 用法： python -m ghdig pr <仓库_url>
  • 示例： python -m ghdig pr https://github.com/7finney/ethcode

• commit：处理 GitHub 提交。

  • 用法： python -m ghdig commit <提交_url>
  • 示例： python -m ghdig commit https://github.com/mmvojwip/agentkit/commit/023f11f08cc7b82036a78580202143381d703b9a

• user：分析 GitHub 用户。

gitthrunter

安装

1. 导航到 gitthrunter 目录：
   root@kitploit:~

   cd gitthrunter
   

2. 安装所需依赖：
   root@kitploit:~

   pip install -r requirements.txt
   

用法

要运行查询，请执行 main.py 脚本并提供位于 queries/ 目录中的 SQL 查询文件的路径。

python main.py potential_attacks.sql --start_date "2025-09-01 00:00:00"

注意：--start_date 可能有助于减小查询大小

然后，丰富行为者数据：

python main.py potential_attacks.sql --enrich

注意：如果未配置 GitHub 令牌，丰富过程可能会遇到速率限制问题

最后，启动应用程序：

python app.py