shhgit exploit

![](

# 🚨 shhgit больше не поддерживается. Если вам нужна поддержка или консультация по сканированию секретов, напишите мне на [email protected] 🚨

## **shhgit помогает прогрессивным командам разработки, эксплуатации и безопасности защищать свой код, находя секреты до того, как они приведут к утечке.**

![Go]( ![](

![](

Случайная утечка секретов — имен пользователей и паролей, токенов API или закрытых ключей — в публичном репозитории кода является кошмаром для разработчиков и служб безопасности. Мошенники постоянно сканируют публичные репозитории в поисках этих секретов, чтобы получить доступ к системам. Код сейчас более связан, чем когда-либо, и часто такие секреты открывают доступ к приватным и конфиденциальным данным — облачной инфраструктуре, серверам баз данных, платёжным шлюзам и системам хранения файлов, и это лишь некоторые примеры.

shhgit может постоянно сканировать ваши репозитории кода, находить и уведомлять вас об этих секретах.

У вас есть два варианта. Я рекомендую первый, так как он даёт доступ к живому веб-интерфейсу shhgit. Второй вариант используйте, если вам нужен только интерфейс командной строки.

1. Клонируйте этот репозиторий: `git clone

2. Соберите через Docker Compose: `docker-compose build`

3. Отредактируйте файл `config.yaml` (например, добавьте свои токены GitHub)

_Примечание_ : этот метод не включает веб-интерфейс shhgit

2. `go get github.com/eth0izzle/shhgit` автоматически загрузит и соберёт shhgit. Или вы можете клонировать этот репозиторий и выполнить `go build -v -i`.

3. Отредактируйте файл `config.yaml` и смотрите раздел «Использование» ниже.

shhgit может работать двумя способами: потреблять публичные API GitHub, Gist, GitLab и BitBucket или обрабатывать файлы в локальной директории.

По умолчанию shhgit работает в первом «публичном» режиме. Для GitHub и Gist вам нужно получить и предоставить токен доступа (см. это руководство; не требует никаких разрешений). Затем поместите его в `github_access_tokens` в `config.yaml`. GitLab и BitBucket не требуют токенов API.

Вы также можете отказаться от встроенных сигнатур и использовать shhgit с собственным поисковым запросом, например, чтобы найти все ключи AWS: `shhgit -- -query AWS_ACCESS_KEY_ID=AKIA`. А для работы в локальном режиме (и, возможно, интеграции в конвейеры CI) передайте флаг `--local` (см. использование ниже).

Максимальное время на клонирование репозитория в секундах (по умолчанию 10)

Поиск config.yaml в указанной директории. Если не задан, пытается найти его из директории бинарного файла shhgit и текущей директории

Укажите путь для записи найденных секретов в CSV. Оставьте пустым, чтобы отключить

Поиск строк с высокой энтропией в файлах. Выше порог = более секретные секреты, ниже порог = больше ложных срабатываний. Установите 0 для отключения проверки энтропии (по умолчанию 5.0)

Укажите локальную директорию (абсолютный путь) для сканирования. Сканирует только указанную директорию рекурсивно. Токены GitHub не требуются.

Максимальный размер файла для обработки в КБ (по умолчанию 512)

Максимальный размер репозитория для загрузки и обработки в КБ (по умолчанию 5120)

Клонировать только репозитории с таким количеством звезд или больше. Установите 0, чтобы игнорировать количество звезд (по умолчанию 0)

Установите false для отключения проверки сигнатур по имени/пути файла, т.е. только сопоставление regex-шаблонов (по умолчанию true)

Отслеживать и обрабатывать Gists в реальном времени. Установите false для отключения (по умолчанию true)

Укажите строку поиска, чтобы игнорировать сигнатуры и фильтровать файлы, содержащие эту строку (совместимо с regex)

Директория для хранения репозиториев/совпадений (по умолчанию "%temp%\shhgit")

Количество одновременных потоков (по умолчанию количество логических процессоров)

Файл `config.yaml` содержит 7 элементов. По умолчанию предоставлен.

github_access_tokens: # предоставьте хотя бы один токен

webhook_payload: '' # Payload для отправки на URL вебхука

blacklisted_strings: [] # список строк для игнорирования

blacklisted_extensions: [] # список расширений для игнорирования

blacklisted_paths: [] # список путей для игнорирования

blacklisted_entropy_extensions: [] # дополнительные расширения для игнорирования при проверке энтропии

signatures: # список сигнатур для проверки

- part: '' # либо filename, extension, path или contents

match: '' # простое сравнение текста (если нет элемента regex)

regex: '' # regex-шаблон (если нет элемента match)

shhgit поставляется с 150 сигнатурами. Вы можете удалить или добавить больше, отредактировав файл `config.yaml`.

Файл базы данных менеджера паролей 1Password, Токен аутентификации Amazon MWS, Файл Apache htpasswd, Файл базы данных связки ключей Apple, Artifactory, Идентификатор ключа доступа AWS, Значение идентификатора ключа доступа AWS, Идентификатор учётной записи AWS, Файл учётных данных AWS CLI, Информация о файле учётных данных AWS, Секретный ключ доступа AWS, Токен сеанса AWS, Файл схемы конфигурации службы Azure, Файл конфигурации Carrierwave, Файл конфигурации Chef Knife, Закрытый ключ Chef, CodeClimate, Файл конфигурации для процесса автоматического входа, Содержит закрытый ключ, Содержит закрытый ключ, Файл учётных данных ProFTPd для резервного копирования cPanel, Файл дневника Day One, Файл конфигурации менеджера базы данных DBeaver SQL, Файл конфигурации клиента командной строки DigitalOcean doctl, Файл конфигурации Django, Файл конфигурации Docker, Файл аутентификации реестра Docker, Файл конфигурации окружения, Конфигурация esmtp, Токен доступа , Идентификатор клиента , Секретный ключ , Файл конфигурации FTP-клиента FileZilla, Файл последних серверов FileZilla, База данных сохранённых паролей Firefox, Файл учётных данных вспомогательной программы git-credential-store, Файл конфигурации Git, Файл конфигурации клиента командной строки GitHub Hub, Ключ Github, Файл базы данных связки ключей GNOME, Файл базы данных GnuCash, Учётная запись службы Google (GCM), Ключ API Google Cloud, Токен доступа OAuth Google, Ключ OAuth Google, Ключ API Heroku, Файл конфигурации Heroku, Файл конфигурации списка серверов IRC-клиента Hexchat/XChat, Строка с высокой энтропией, HockeyApp, Файл конфигурации IRC-клиента Irssi, Файл хранилища ключей Java, Файл плагина Jenkins publish over SSH, Конфигурация IDE Jetbrains, Файл базы данных менеджера паролей KDE Wallet, Файл базы данных менеджера паролей KeePass, Идентификатор клиента , Секретный ключ , Файл конфигурации брандмауэра Little Snitch, Файл журнала, Ключ API MailChimp, Ключ API MailGun, Файл ключа восстановления Microsoft BitLocker, Файл пароля доверенного платформенного модуля Microsoft BitLocker, Файл базы данных Microsoft SQL, Файл компактной базы данных Microsoft SQL Server, Файл конфигурации Mongoid, Файл конфигурации почтового клиента Mutt, Файл истории команд клиента MySQL, Дамп MySQL с bcrypt-хешами, netrc с учётными данными SMTP, Файл захвата сетевого трафика, Файл конфигурации NPM, Ключ API NuGet, Файл конфигурации OmniAuth, Файл конфигурации клиента OpenVPN, Команда Outlook, Файл базы данных Password Safe, Токен доступа PayPal/Braintree, Файл конфигурации PHP, Ключ API Picatic, Файл конфигурации учётной записи чат-клиента Pidgin, Закрытый ключ Pidgin OTR, Файл истории команд клиента PostgreSQL, Файл паролей PostgreSQL, Потенциальный криптографический закрытый ключ, Потенциальный файл учётных данных Jenkins, Потенциальный файл дневника jrnl, Потенциальный файл passwd Linux, Потенциальный файл shadow Linux, Потенциальный файл конфигурации MediaWiki, Потенциальный закрытый ключ (.asc), Потенциальный закрытый ключ (.p21), Потенциальный закрытый ключ (.pem), Потенциальный закрытый ключ (.pfx), Потенциальный закрытый ключ (.pkcs12), Потенциальный закрытый ключ PuTTYgen, Потенциальный файл конфигурации базы данных Ruby On Rails, Закрытый ключ SSH (.dsa), Закрытый ключ SSH (.ecdsa), Закрытый ключ SSH (.ed25519), Закрытый ключ SSH (.rsa), Открытый ключ ssh, Файл байт-кода Python, База данных ключей API веб-фреймворка разведки Recon-ng, remote-sync для Atom, Файл подключения к удалённому рабочему столу, Файл конфигурации менеджера базы данных Robomongo MongoDB, Файл учётных данных Rubygems, Файл истории консоли Ruby IRB, Главный ключ Ruby on Rails, Секреты Ruby on Rails, Файл конфигурации секретного токена Ruby On Rails, Файл конфигурации S3cmd, Учётные данные Salesforce, Токен Sauce, Файл закладок менеджера базы данных Sequel Pro MySQL, sftp-deployment для Atom, sftp-deployment для Atom, Файл конфигурации SFTP-подключения, Файл конфигурации алиасов команд оболочки, Файл истории команд оболочки, Файл конфигурации оболочки (.bashrc, .zshrc, .cshrc), Файл конфигурации оболочки (.exports), Файл конфигурации оболочки (.extra), Файл конфигурации оболочки (.functions), Файл конфигурации профиля оболочки, Токен Slack, Вебхук Slack, Ключ API SonarQube Docs, Файл дампа данных SQL, Файл дампа SQL, Файл базы данных SQLite3, Файл базы данных SQLite, Токен доступа Square, Секрет OAuth Square, Файл конфигурации SSH, Пароль SSH, Ключ API Stripe, Файл конфигурации клиента командной строки Twitter T, Файл конфигурации переменных Terraform, Конфигурация инструмента управления DigitalOcean Tugboat, Файл конфигурации VPN Tunnelblick, Ключ API Twilio, Идентификатор клиента Twitter, Секретный ключ Twitter, Имя пользователя и пароль в URI, Файл конфигурации сервера Ventrilo, vscode-sftp для VSCode, Файл зашифрованных данных полного тома Windows BitLocker, WP-Config

2. Создайте свою ветку: `git checkout -b my-new-feature`

3. Зафиксируйте изменения: `git commit -am 'Add some feature'`

4. Отправьте в ветку: `git push origin my-new-feature`

Я не несу ответственности за то, как вы используете этот инструмент. Не будьте мудаком.