Recon של GitHub: איתור סודות שדלפו בהיקף שלך

מפתחים מדליפים. מפתח קבוע בקומיט, קובץ config שנדחף בטעות, שם מארח פנימי בהערה: קוד פומבי מחזיק ערך ריקון להיקף שלך או לתוכנית שהצטרפת אליה. העבודה היא למצוא את המאגרים והמשתמשים הקשורים ליעד ואז לסרוק בכלים שנבנו לסודות. שמור בתוך ההיקף. אתה קורא קוד פומבי ולעולם לא מתחבר עם שום דבר שאתה מוצא.

#מצא את המאגרים והמשתמשים

התחל מהארגון ומהדומיין. חיפוש הקוד של GitHub בדפדפן, כשאתה מחובר, מקבל מסננים שאפשר לשלב.

"example.com" org:example-inc
"api_key" "example.com"
filename:.env "example.com"

github-search מבצע את אותו רעיון בסקריפט עם token, ומושך משתמשים, מאגרים והתאמות קוד למונח. סקריפט github-subdomains שלו מוצא שמות מארח המוזכרים בכל פינה בקוד פומבי, מקור שכלי ה-DNS מפספסים.

github-subdomains -d example.com -t $GITHUB_TOKEN -o gh-subs.txt

הרחב את הרשת אל האנשים סביב הארגון. עובדים מציינים את עבודתם בפרופיל, אז חיפוש של שם החברה בין משתמשים מעלה חשבונות שהמאגרים האישיים שלהם לעיתים מזכירים כלים פנימיים. שמור את הרמזים האלה, אבל זכור של מי הנתון והתייחס לחשבון אישי בזהירות רבה יותר מאשר לחשבון של החברה.

#סרוק עותקים בחיפוש סודות

כשיש לך מאגרים, שכפל את אלה שבהיקף וסרוק מקומית. gitleaks קורא את כל היסטוריית ה-git, לא רק את הקבצים הנוכחיים, אז סוד שהוסר אחר כך עדיין צף.

gitleaks detect --source ./example-repo --report-path leaks.json

trufflehog הולך רחוק יותר ומאמת סוגי סוד רבים בכך שהוא בודק אם האישור עדיין עובד, מה שקוצץ בחדות התרעות שווא.

trufflehog git https://github.com/example-inc/example-repo --only-verified

פגיעה מאומתת היא אישור חי. אל תשתמש בו. רשום אותו, עם הקומיט והקובץ, לדוח, ותן לבעלים להחליף אותו. סריקה של מונורפו גדול לוקחת זמן, אז התחל מהמאגרים שהדורקים שלך כבר קשרו ליעד, לא מכל fork ומראה.

#כתוב שאילתות טובות עם הצ'אט

דורקינג ב-GitHub הוא בעיה לשונית: המסנן הנכון מוצא את הדלף, הלא נכון קובר אותו. בקש מהצ'אט של NotHoly להרחיב זרע לסדרת שאילתות.

שורשי ההיקף שלי הם example.com ו-example.net, org example-inc.
כתוב 15 שאילתות חיפוש קוד ב-GitHub כדי למצוא סודות שדלפו,
שמות מארח פנימיים וקבצי config הקשורים אליהם. גוון את
המסננים (org, filename, path, language). אחת בכל שורה.

אתה בעצמך מדביק את השאילתות בחזרה לחיפוש של GitHub, לא לכלי שמריץ אותן בשבילך. המודל גם קורא היטב דוח gitleaks: הדבק את ה-JSON ובקש לקבץ פגיעות לפי סוג סוד ולדרג לפי כמה סביר שכל אחת אמיתית ובתוך ההיקף.

#היקף ופרטיות

קוד פומבי לרוב שייך לאנשים פרטיים, לא לחברת היעד. המאגר האישי של עובד הוא נתון של אדם, והפרויקט הצדדי הישן שלו אינו בהיקף שלך. הישאר במאגרים בבעלות הארגון או כאלה שקשורים בבירור לתשתית היעד. לעולם אל תאמת עם אישור שדלף, לעולם אל תדחוף קומיט, ודווח על סודות דרך ערוץ התוכנית כדי שיוחלפו.

#שאלות נפוצות

#קריאת סוד שנמצא היא בעיה?

קריאת קוד פומבי היא דבר אחד; שימוש באישור שמצאת הוא דבר אחר, והוא יכול לחצות קו של שימוש לרעה במחשב אפילו בתוך תוכנית bug bounty. דווח ואל תבדוק על ידי התחברות.

#ומה עם קומיטים ישנים שנמחקו?

git שומר היסטוריה. סוד שהוסר בקומיט מאוחר עדיין יושב בקודם, וזו בדיוק הסיבה ש-gitleaks ו-trufflehog סורקים את כל ההיסטוריה ולא את העץ הנוכחי.

חיפוש קוד משלים את המקורות האוטומטיים שלך. בהמשך, חדד את החלק הידני בדורקינג במנועי חיפוש שעובד. חזרה אל certificate transparency והיסטוריית DNS.