搜索

[10934] 2017-01-16_一款能在GitHub代码库中探测密钥的工具：TruffleHog

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2017-01-16_一款能在GitHub代码库中探测密钥的工具：TruffleHog 一 款 能 在 G i t H u b 代 码 库 中 探 测 密 钥 的 工 具 ： T r u f f l e   H o g A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 1 - 1 6 工 具 简 介 工 具 简 介 这 款 名 叫 这 款 名 叫 “ T r u f f l e   H o g ” 的 免 费 开 源 工 具 可 以 帮 助 开 发 人 员 检 测 自 己 在 的 免 费 开 源 工 具 可 以 帮 助 开 发 人 员 检 测 自 己 在 G i t H u b 上 发 布 的 项 目 代 码 是 否 意 外 泄 漏 了 密 钥 。 上 发 布 的 项 目 代 码 是 否 意 外 泄 漏 了 密 钥 。 T r u f f l e   H o g 是 一 款 采 用 P y t h o n 开 发 的 工 具 ， 它 可 以 检 索 G i t H u b 代 码 库 的 所 有 代 码 提 交 记 录 以 及 分 支 ， 并 搜 索 出 可 以 表 示 密 钥 （ 例 如 A W S 密 钥 ） 的 高 熵 字 符 串 。 运 行 机 制 运 行 机 制 该 工 具 的 开 发 者 该 工 具 的 开 发 者 D y l a n   A y r e y 解 释 称 ： 解 释 称 ： “ T r u f f l e   H o g 会 检 索 代 码 库 中 每 一 个 分 支 完 整 的 代 码 提 交 记 录 ， 而 且 也 会 检 查 每 一 次 提 交 的 g i t   d i f f 信 息 ， 然 后 对 每 一 个 长 度 超 过 2 0 个 字 符 的 b a s e 6 4 字 符 集 和 十 六 进 制 字 符 集 的 香 农 熵 （ S h a n n o n   e n t r o p y ） 进 行 估 值 。 如 果 T r u f f l e H o g 检 测 到 了 一 个 长 度 大 于 2 0 个 字 符 的 高 熵 字 符 串 ， 它 便 会 将 其 打 印 输 出 至 屏 幕 。 ” 一 些 R e d d i t 用 户 目 前 已 经 在 社 区 开 始 讨 论 T r u f f l e   H o g 了 ， 因 为 在 此 之 前 有 攻 击 者 曾 利 用 工 具 在 G i t H u b 中 搜 索 用 户 意 外 泄 漏 的 A W S 密 钥 ， 并 将 这 些 密 钥 用 于 恶 意 的 A W S 实 例 之 中 。 由 于 这 种 类 型 的 恶 意 活 动 会 给 亚 马 逊 公 司 带 来 巨 额 的 经 济 损 失 ， 因 此 亚 马 逊 也 将 那 些 在 公 共 代 码 库 中 意 外 泄 漏 了 密 钥 的 A W S 账 号 暂 时 禁 用 了 。 D y l a n   A y r e y 是 谁 ？ 是 谁 ？ 其 实 ， 有 些 用 户 可 能 早 就 熟 知 A y r e y 了 。 A y r e y 在 去 年 曾 专 门 制 作 了 一 个 演 示 d e m o 来 警 告 用 户 “ P a s t e j a c k i n g 攻 击 ” 危 险 性 。 这 种 基 于 J a v a S c r i p t 的 攻 击 可 以 修 改 用 户 剪 切 板 中 的 内 容 ， 然 后 诱 使 用 户 在 其 他 地 方 粘 贴 这 些 内 容 。 此 时 的 用 户 并 不 知 道 他 们 所 粘 贴 的 是 恶 意 代 码 ， 而 这 些 恶 意 代 码 则 有 可 能 在 计 算 机 中 的 任 何 地 方 得 到 执 行 。 T r u f f l e   H o g 项 目 在 G i t H u b 上 已 经 拥 有 超 过 7 0 0 多 位 粉 丝 了 ， 而 这 也 使 得 该 项 目 成 了 A y r e y 继 P a s t e j a c k 攻 击 d e m o 之 后 第 二 火 爆 的 开 源 项 目 了 。
开 发 人 员 不 应 该 粗 心 大 意 开 发 人 员 不 应 该 粗 心 大 意 开 发 人 员 在 将 自 己 的 项 目 代 码 提 交 至 G i t H u b 之 前 ， 一 定 要 再 三 检 查 代 码 中 可 能 存 在 的 敏 感 信 息 ， 而 这 一 点 安 全 研 究 专 家 也 已 经 多 次 警 告 过 社 区 的 开 发 人 员 了 。 在 2 0 1 3 年 1 月 份 ， G i t H u b 也 推 出 了 一 款 新 的 内 部 搜 索 功 能 ， 开 发 人 员 可 以 利 用 这 个 功 能 来 搜 索 代 码 库 中 的 密 码 、 加 密 密 钥 、 以 及 其 他 的 敏 感 数 据 。 该 服 务 一 经 推 出 ， 广 大 用 户 就 立 刻 在 G i t H u b 中 扫 描 到 了 大 量 意 外 泄 漏 的 密 钥 。 工 具 下 载 与 安 装 工 具 下 载 与 安 装   –   【 点 击 阅 读 原 文 进 入 【 点 击 阅 读 原 文 进 入 G i t H u b 主 页 】 主 页 】 下 载 下 载 安 装 安 装 T r u f f l e   H o g 唯 一 的 依 赖 组 件 就 是 G i t P y t h o n ， 你 可 以 通 过 下 列 命 令 搭 建 依 赖 环 境 ： *   参 考 来 源 ： s e c u r i t y w e e k ， g i t h u b ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M p y t h o n   t r u f f l e H o g . p y   h t t p s : / / g i t h u b . c o m / d x a 4 4 8 1 / t r u f f l e H o g . g i t p i p   i n s t a l l   - r   r e q u i r e m e n t s . t x t
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理