搜索

[16425] 2021-02-10_使用Token-Hunter收集GitLab组和成员资产中的敏感数据研究

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-02-10_使用Token-Hunter收集GitLab组和成员资产中的敏感数据研究 使 用 T o k e n - H u n t e r 收 集 G i t L a b 组 和 成 员 资 产 中 的 敏 感 数 据 研 究 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 1 0 T o k e n - H u n t e r T o k e n - H u n t e r 是 一 款 针 对 G i t L a b 组 和 成 员 的 O S I N T 开 源 情 报 收 集 工 具 ， 该 工 具 基 于 P y t h o n 3 开 发 在 该 工 具 的 帮 助 下 ， 广 大 研 究 人 员 可 以 轻 松 分 析 组 和 组 成 员 之 间 的 代 码 段 、 问 题 和 问 题 讨 论 等 内 容 ， 并 从 这 些 资 产 中 收 集 潜 在 的 敏 感 信 息 。 收 集 到 的 信 息 旨 在 补 充 其 他 工 具 使 用 的 相 关 信 息 ， 比 如 说 T r u f f l e H o g 或 G i t R o b ， 而 这 些 工 具 可 以 使 用 类 似 正 则 表 达 式 匹 配 技 术 来 搜 索 g i t 提 交 历 史 。 工 具 运 行 机 制 工 具 运 行 机 制 通 过 提 供 G i t L a b 中 特 定 组 的 组 I D （ 我 们 可 以 在 G i t L a b   U I 界 面 组 名 称 下 找 到 组 I D ） ， T o k e n - H u n t e r 将 会 使 用 G i t L a b 组 I D 来 查 找 跟 这 个 组 相 关 的 所 有 项 目 以 及 组 成 员 的 个 人 项 目 。 除 此 之 外 ， 我 们 还 可 以 配 置 该 工 具 来 寻 找 项 目 相 关 资 产 中 的 敏 感 数 据 。 T o k e n - H u n t e r 使 用 了 跟 T r u f f l e H o g 相 同 的 一 组 正 则 表 达 式 ， 并 且 还 可 以 指 定 G i t L a b 特 定 的 令 牌 。 T o k e n - H u n t e r 依 赖 于 这 些 易 于 配 置 的 正 则 表 达 式 来 获 得 更 加 准 确 和 有 效 的 搜 索 结 果 。 目 前 ， 该 工 具 支 持 G i t L a b 代 码 段 、 问 题 以 及 问 题 讨 论 ， 之 后 还 会 增 加 针 对 更 多 资 产 的 支 持 。 该 工 具 允 许 研 究 人 员 进 行 高 度 自 定 义 配 置 ， 以 便 在 特 别 感 兴 趣 的 资 产 中 高 效 地 发 现 敏 感 数 据 。 工 具 使 用 工 具 使 用 在 运 行 该 工 具 之 前 ， 我 们 需 要 生 成 一 个 G i t L a b 个 人 访 问 令 牌 （ P A T ） ， 并 将 其 以 环 境 变 量 的 形 式 导 出 ： 接 下 来 ， 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ， 并 完 成 依 赖 组 件 的 安 装 ： 然 后 ， 我 们 就 可 以 根 据 自 己 的 需 要 来 运 行 该 工 具 并 指 定 执 行 参 数 了 ： e x p o r t   G I T L A B _ A P I _ T O K E N = x x x x x g i t   c l o n e   h t t p s : / / g i t l a b . c o m / g i t l a b - c o m / g l - s e c u r i t y / g l - r e d t e a m / t o k e n - h u n t e r . g i t p i p 3   i n s t a l l   - r   . / r e q u i r e m e n t s . t x t u s a g e :   t o k e n - h u n t e r . p y   [ - h ]   - g   G R O U P   [ - u   U R L ]   [ - m ]   [ - s ]   [ - i ]   [ - r ]   [ - t ]                                               [ - p   P R O X Y ]   [ - c   C E R T ]   [ - l   L O G F I L E ] C o l l e c t   O S I N T   f o r   G i t L a b   g r o u p s   a n d   m e m b e r s .   O p t i o n a l l y   s e a r c h   t h e   g r o u p   a n d g r o u p   m e m b e r s   s n i p p e t s ,   p r o j e c t   i s s u e s ,   a n d   i s s u e   d i s c u s s i o n s / c o m m e n t s   f o r s e n s i t i v e   d a t a . o p t i o n a l   a r g u m e n t s :     - h ,   - - h e l p                         s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - u   U R L ,   - - u r l   U R L           A n   o p t i o n a l   a r g u m e n t   t o   s p e c i f y   t h e   b a s e   U R L   o f   y o u r                                                 G i t L a b   i n s t a n c e .   I f   t h e   a r g u m e n t   i s   n o t   s u p p l i e d ,   i t s                                                 d e f a u l t e d   t o   ' h t t p s : / / g i t l a b . c o m '     - m ,   - - m e m b e r s                   I n c l u d e   g r o u p   m e m b e r s   p e r s o n a l   p r o j e c t s   a n d   t h e i r                                                 r e l a t e d   a s s e t s   i n   t h e   s e a r c h f o r   s e n s i t i v e   d a t a .     - s ,   - - s n i p p e t s                 S e a r c h e s   f o u n d   p r o j e c t s   f o r   G i t L a b   S n i p p e t s   w i t h
工 具 使 用 样 例 工 具 使 用 样 例 该 工 具 最 简 单 的 使 用 场 景 就 是 返 回 跟 目 标 组 I D 相 关 联 的 所 有 项 目 的 U R L 地 址 ， 这 里 使 用 的 是 - g 选 项 。 我 们 可 以 在 G i t L a b   U I 界 面 组 名 称 下 找 到 组 I D ， 该 配 置 下 T o k e n - H u n t e r 不 会 搜 索 令 牌 ： 查 找 跟 组 1 2 3 4 5 6 相 关 的 所 有 项 目 以 及 组 成 员 的 个 人 项 目 ， 该 配 置 下 T o k e n - H u n t e r 不 会 搜 索 令 牌 ： 查 找 跟 组 1 2 3 4 5 6 相 关 的 所 有 项 目 以 及 组 成 员 的 个 人 项 目 ， - s 选 项 将 会 让 T o k e n - H u n t e r 搜 索 跟 每 一 个 项 目 相 关 的 G i t L a b 代 码 段 ， 并 查 找 项 目 中 的 敏 感 数 据 ： 查 找 跟 组 1 2 3 4 5 6 相 关 的 所 有 项 目 以 及 组 成 员 的 个 人 项 目 ， - s 选 项 将 会 让 T o k e n - H u n t e r 搜 索 跟 每 一 个 项 目 相 关 的 G i t L a b 代 码 段 ， 并 查 找 项 目 中 的 敏 感 数 据 。 - i 选 项 将 让 T o k e n - H u n t e r 搜 索 跟 每 一 个 项 目 相 关 的 问 题 以 及 问 题 讨 论 ， 并 查 找 项 目 中 的 敏 感 数 据 （ 该 模 式 下 可 能 会 导 出 大 量 数 据 ， 慎 用 ！ ） ： 项 目 地 址 项 目 地 址 T o k e n - H u n t e r ： 【 点 击 底 部 阅 读 原 文 获 取 】 精 彩 推 荐 精 彩 推 荐                                                 s e n s i t i v e   d a t a .     - i ,   - - i s s u e s                     S e a r c h e s   f o u n d   p r o j e c t s   f o r   G i t L a b   I s s u e s   a n d                                                 d i s c u s s i o n s / c o m m e n t s   w i t h   s e n s i t i v e   d a t a .     - r ,   - - m e r g e r e q u e s t s       S e a r c h e s   f o u n d   p r o j e c t s   f o r   G i t L a b   M e r g e   R e q u e s t s   a n d                                                 d i s c u s s i o n s / c o m m e n t s   w i t h   s e n s i t i v e   d a t a .     - t ,   - - t i m e s t a m p               D i s a b l e s   d i s p l a y   o f   s t a r t / f i n i s h   t i m e s   a n d   o r i g i n a t i n g                                                 I P   t o   t h e   o u t p u t     - p   P R O X Y ,   - - p r o x y   P R O X Y                                                 P r o x i e s   a l l   r e q u e s t s   u s i n g   t h e   p r o v i d e d   U R I   m a t c h i n g                                                 t h e   s c h e m e :   h t t p ( s ) : / / u s e r : p a s s @ 1 0 . 1 0 . 1 0 . 1 0 : 8 0 0 0     - c   C E R T ,   - - c e r t   C E R T     U s e d   i n   t a n d e m   w i t h   - p   ( - - p r o x y ) ,   t h i s   s w i t c h   p r o v i d e s                                                 a   f u l l y   q u a l i f i e d   p a t h   t o   a   c e r t i f i c a t e   t o   v e r i f y   T L S                                                 c o n n e c t i o n s .   P r o v i d e   a   f u l l y   q u a l i f i e d   p a t h   t o   t h e                                                 d y n a m i c   c e r t .   E x a m p l e :                                                 / U s e r s / < u s e r n a m e > / o w a s p _ z a p _ r o o t _ c a . c e r .     - l   L O G F I L E ,   - - l o g f i l e   L O G F I L E                                                 W i l l   A P P E N D   a l l   o u t p u t   t o   s p e c i f i e d   f i l e . r e q u i r e d   a r g u m e n t s :     - g   G R O U P ,   - - g r o u p   G R O U P                                                 I D   o r   H T M L   e n c o d e d   n a m e   o f   a   G i t L a b   g r o u p .   T h i s                                                 o p t i o n ,   b y   i t s e l f ,   w i l l   d i s p l a y   g r o u p   p r o j e c t s   a n d                                                 m e m b e r   n a m e s   o n l y . . / t o k e n - h u n t e r . p y   - g   1 2 3 4 5 6 . / t o k e n - h u n t e r . p y   - g   1 2 3 4 5 6   - m . / t o k e n - h u n t e r . p y   - g   1 2 3 4 5 6   - m s i r . / t o k e n - h u n t e r . p y   - g   1 2 3 4 5 6   - m s i t   - u   h t t p s : / / m y g i t l a b - i n s t a n c e . c o m   - p   h t t p : / / 1 2 7 . 0 . 0 1 : 8 0 8 0   - c   / U s e r s / h a c k e r / o w a s p _ z a p _ c a _ c e r t . c e r   - l   . / a p p e n d e d - o u t p u t . t x t
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理