סריקת מידע רגיש בגיטהאב

הפלטפורמה של גיטהאב מכילה מידע עצום ומיליוני מפתחים ומשתמשים בעולם משתפים מידע והרבה קוד, ובגיטהאב ישנם Repo ציבוריים, פרטים וגם של ארגונים.

לגיטהאב ישנם יתרונות רבים אך לצד היתרונות ישנם מצבים שבהם מפתחים משתפים מידע רגיש כדוגמת פרטי הזדהות, סיסמאות מערכת, קוד גישה של AWS ומלא מידע נוסף.

מחיקת המידע לעיתים לא נעשית בצורה הנכונה וגם לאחר מחיקה ניתן להוציא מידע, ובכדי להימנע ממצבים כאלה פשוט לא להעלות מידע!

טעויות אנוש מתרחשים בכל עת ולכן במצבים בהם המידע אינו מוצפן או מוקשח לפי המלצות, כל אותם מפתחים תמיד ישתפו מידע רגיש בדרך כזאת או אחרת.

כלים קיימים לחיפוש מידע רגיש

ישנם דרכים שונות לחפש מידע רגיש בתשתית גיטהאב, בין היתר:

Gittyleaks המבוסס על פייתון ומחפש מידע כדוגמת זהויות, סיסמאות, כתובות דואר וכן הלאה.

Git Secrets אשר פותח ע"י AWS Labs ומטרתו למצוא מידע כדוגמת AWS Key.

Repo Supervisor לחיפוש אחר מיסקונפיגורציה, סיסמאות וכן הלאה.

בנוסף לכך אפשר לעבוד עם PowerShell בכדי לתשאל את GitHub Search API ולחפש מילות מפתח שונות, החל מסיסמאות, זהויות, Repo, מפתחות הצפנה וכל מה שעולה בדימיון.

חיפוש מידע באמצעות PowerShell

בכדי לחפש מידע באמצעות PowerShell נבצע את הפעולות הבאות:

מתוך הממשק של גיטהאב ניצור מפתח ייעודי לביצוע הזדהות באמצעות הסקריפט

2019-09-12_20h47_402019-09-12_20h47_592019-09-12_20h48_332019-09-12_20h48_47

בסיום נקח את המפתח ונעתיק אל הסקריפט

2019-09-12_22h36_15.png

לאחר מכן ניצור קובץ טקסט שנקרא SearchItems – בקובץ הזה נוסיף את מילות החיפוש הרלוונטיות, למשל Vault או Password (וכל מה שעולה בדמיון).

2019-09-12_22h40_46

הערה: אפשר להוסיף למילות החיפוש מספר רב של מילים אך במצב כזה הסקריפט ירוץ זמן רב.

לאחר מכן נריץ את הסקריפט שירוץ בפרק זמן מסוים ובסיומו נקבל קובץ GithubSearch שיכיל את כל הקישורים הרלוונטיים.

2019-09-12_22h41_17

בסיום הקובץ יכיל את כלל הקישורים לפי המבנה הבא

2019-09-12_22h43_10.png

קישור להורדת הסקריפט https://github.com/eshlomo1/Generic/blob/master/Search_GitHub

לסיכום

הפלטפורמה של גיטהאב מכילה כמות עצומה של מידע אשר בחלקו רגיש ולעיתים רבות איננו מוגן כנדרש, ולכן אין צורך להיות האקר מיומן בכדי למצוא מידע רגיש ובעל ערך וכל שצריך לבצע הוא חיפוש עם הכלים הנכונים.

אקב, באמצעות הסקריפט ניתן לחפש כל סוג מידע ולא בהכרח מידע רגיש.



:קטגוריותGithub

תגים: , , ,

תגובה אחת

  1. מעולה תודה

מה דעתך?

This site uses Akismet to reduce spam. Learn how your comment data is processed.