推荐两款github敏感信息搜集工具（gsil、gshark）

推荐两款github敏感信息搜集工具（gsil、gshark） - 云+社区 - 腾讯云 (tencent.com)

github敏感信息泄露是很多企业时常忽视的一个问题，国外有一份研究报告显示，在超过24,000份的GitHub公开数据中，发现有数千个文件中可能包含敏感信息，原文链接https://www.anquanke.com/post/id/198361，整体情况如下：

翻译过来便是：

  • 4109个配置文件
  • 2464个API密钥
  • 2328个硬编码的用户名及密码
  • 2144个私钥文件
  • 1089个OAuth令牌

总体占比高达50.56%，想想这有多可怕吧

所以我们能在第一时间发现自己企业泄露了哪些信息或者获取别人énénén······是很有必要的，这时你就需要下面两个神器啦

1、gsil

介绍：此工具主要用于GitHub敏感信息泄露的监控，可实现邮件实时告警，缺点不是可视化

所需环境：

  • Python2、3皆可，笔者用的是Python3
  • gsil项目：https://github.com/FeeiCN/GSIL
  • 开启POP3/SMTP服务的邮箱
  • 一个github账号token，获取地址：https://github.com/settings/tokens

项目安装：

建议在安装之前把pip升级到最新版，不然有可能报错，命令如下：

python3 -m pip install --upgrade pip

复制

然后进入想要安装的目录，依次输入：

git clone https://github.com/FeeiCN/gsil.git

复制

cd gsil

复制

pip3 install -r requirements.txt

复制

这就安装完了，下一步进入gsil目录找到config.gsil.example文件

内容如下：


  
  
  1. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      [mail]
     
     
    
    
    
  2. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      host : smtp.exmail.qq.com   
      
      /
      
      /这个最后要改成smtp.qq.com
     
     
    
    
    
  3. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      port : 
      
      25   
      
      /
      
      /这个端口smtp服务一般是
      
      465
     
     
    
    
    
  4. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      mails : your_mail   
      
      /
      
      /这是你的邮箱地址Ps：多个邮箱用,隔开
     
     
    
    
    
  5. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      from : GSIL
     
     
    
    
    
  6. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      password : your_password    
      
      /
      
      /这是生成的授权码
     
     
    
    
    
  7. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      to : feei@feei.cn   
      
      /
      
      /这是接受邮件的邮箱地址
     
     
    
    
    
  8. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      cc : feei@feei.cn   
      
      /
      
      /这是抄送邮件的邮箱地址
     
     
    
    
    
  9. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
     
     
     
    
    
    
  10. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      [github]
     
     
    
    
    
  11. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      clone : 
      
      false   
      
      /
      
      /扫描到的漏洞仓库是否立刻Clone到本地
     
     
    
    
    
  12. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      tokens : your_github_token  
      
      /
      
      /这是你github的token

复制

邮箱服务配置：

这里以QQ邮箱为例，找到【设置】点击【账户】下拉找到POP3/IMAP/SMTP/Exchange/CardDAV/CalDAV服务一栏，点击开启，绑定QQ安全中心的用户需要输入app中的令牌

验证成功授权码就拿到啦

github获取token：

进入https://github.com/settings/tokens页面点击生成新令牌

然后会验证密码

勾选public_repo

然后生成就完活了

最后将配置文件改成这样就行了


  
  
  1. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      [mail]
     
     
    
    
    
  2. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      host : smtp.qq.com
     
     
    
    
    
  3. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      port : 
      
      465
     
     
    
    
    
  4. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      mails : nsq
      
      88@vip.qq.com
     
     
    
    
    
  5. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      from : GSIL
     
     
    
    
    
  6. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      password : jvydbjshjvhvjdsc
     
     
    
    
    
  7. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      to : nsq
      
      88@vip.qq.com
     
     
    
    
    
  8. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      cc : nsq
      
      88@vip.qq.com
     
     
    
    
    
  9. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
     
     
     
    
    
    
  10. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      [github]
     
     
    
    
    
  11. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      clone : 
      
      false
     
     
    
    
    
  12. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      tokens : 
      
      1ef
      
      5d
      
      5f
      
      0bajdshvcb
      
      455dmcbmdbh
      
      29046d
      
      5b

复制

配置搜索规则：

如图找到rules.gsil.example文件，修改你想搜索的内容

解释如下：


  
  
  1. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      {
     
     
    
    
    
  2. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
        
      
      # 一级分类，一般使用公司名，用作开启扫描的第一个参数（python gsil.py test）
     
     
    
    
    
  3. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
        
      
      "test": {
     
     
    
    
    
  4. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
            
      
      # 二级分类，一般使用产品线
     
     
    
    
    
  5. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
            
      
      "mogujie": {
     
     
    
    
    
  6. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      # 公司内部域名
     
     
    
    
    
  7. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      "\"mogujie.org\"": {
     
     
    
    
    
  8. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                    
      
      # mode/ext默认可不填
     
     
    
    
    
  9. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                    
      
      "mode": 
      
      "normal-match",
     
     
    
    
    
  10. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                    
      
      "ext": 
      
      "php,java,python,go,js,properties"
     
     
    
    
    
  11. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
                  },
     
     
    
    
    
  12. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      # 公司代码特征
     
     
    
    
    
  13. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      "copyright meili inc": {},
     
     
    
    
    
  14. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      # 内部主机域名
     
     
    
    
    
  15. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      "yewu1.db.mogujie.host": {},
     
     
    
    
    
  16. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      # 外部邮箱
     
     
    
    
    
  17. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      "mail.mogujie.com": {}
     
     
    
    
    
  18. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
              },
     
     
    
    
    
  19. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
            
      
      "meilishuo": {
     
     
    
    
    
  20. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      "meilishuo.org": {},
     
     
    
    
    
  21. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
                
      
      "meilishuo.io": {}
     
     
    
    
    
  22. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
              }
     
     
    
    
    
  23. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
          }
     
     
    
    
    
  24. 
    
    
    
     
     
    
    
    
    
    
    
    
     
     
    
      
      }

复制

都配置好以后你可以先检查一下token的有效性，这样部署就完成了

python gsil.py --verify-tokens

复制

开始获取敏感信息 ：

终端输入

python gsil.py test

复制

这是我配置的规则，有点多

结果展示：

比如这里有一个泄露用户名及密码的

点击e8b503就可以直接定位到文件位置

‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

2、gshark

介绍：这是个可视化的监测工具，它不仅可以监控github，还可以监控gitlab‍

所需环境：

  • go
  • 64位gcc
  • Linux 一个github账号token，获取地址：https://github.com/settings/tokens

不建议使用window部署，别问为什么，问就是“错错错，是我的错”

安装go

apt-get install golang

复制

Linux中一般自带gcc，没有的话跟上面一样安装就行了

项目安装：

gshark安装可以执行命令，也可以直接到github下载

git clone https://github.com/madneal/gshark

复制

然后执行

go get ./...

复制

如果报错没有执行成功可以试试这个更换国内源

go env -w GOPROXY=https://goproxy.cn

复制

完成后执行

go build main.go

复制

然后改个文件名就哦克了

mv app-template.ini app.ini

复制

运行服务：

开启后台web服务

./main web &

复制

浏览器中输入

http://127.0.0.1:8000/admin/login

复制

账号密码都是gshark

进去之后先添加github的token

规则配置：

改一下规则，想扫那个子域名或者关键字填上就行

规则配置好后点击enable启用规则，想停用就点右边那个

过滤规则可以自己添加

然后回到终端输入下面命令开始监测

./main scan

复制

结果展示：

‍过一段时间源代码扫描报告中就会有一堆结果

直接点击上面的链接会跳到那个文件，这时你就可以愉快的寻找敏感信息啦，哦耶

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/58580.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

ChatGPT已打破图灵测试，新的测试方法在路上

ChatGPT已打破图灵测试，新的测试方法在路上

生信麻瓜的 ChatGPT 4.0 初体验 偷个懒，用ChatGPT 帮我写段生物信息代码 代码看不懂？ChatGPT 帮你解释，详细到爆！ 如果 ChatGPT 给出的的代码不太完善，如何请他一步步改好？ 全球最佳的人工智能系统可以通过…
阅读更多...
在windows配置redis的一些错误及解决方案

在windows配置redis的一些错误及解决方案

目录 Unable to connect to Redis; nested exception is io.lettuce.core.RedisConnectionException:用客户端Redis Desktop Manager一样的密码端口，是可以正常连接的，但是运行java程序之后使用接口请求就会报错 Unable to connect to Redis; nested e…
阅读更多...
使用正则表达式 移除 HTML 标签后得到字符串

使用正则表达式 移除 HTML 标签后得到字符串

需求分析 后台返回的数据是 这样式的 需要讲html 标签替换 high_light_text: "<span stylecolor:red>OPPO</span> <span stylecolor:red>OPPO</span> 白色 01"使用正则表达式 function stripHTMLTags(htmlString) {return htmlString.rep…
阅读更多...
【腾讯云Cloud Studio实战训练营】使用Cloud Studio迅捷开发一个3D家具个性化定制应用

【腾讯云Cloud Studio实战训练营】使用Cloud Studio迅捷开发一个3D家具个性化定制应用

目录 前言&#xff1a; 一、腾讯云 Cloud Studio介绍&#xff1a; 1、接近本地 IDE 的开发体验 2、多环境可选&#xff0c;或连接到云主机 3、随时分享预览效果 4、兼容 VSCode 插件 5、 AI代码助手 二、腾讯云Cloud Studio项目实践&#xff08;3D家具个性化定制应用&…
阅读更多...
WPF中自定义Loading图

WPF中自定义Loading图

纯前端方式&#xff0c;通过动画实现Loading样式&#xff0c;如图所示 <Grid Width"35" Height"35" HorizontalAlignment"Center" VerticalAlignment"Center" Name"Loading"><Grid.Resources><DrawingBrus…
阅读更多...
程序员之马上结束任务

程序员之马上结束任务

计算机系的男同学追班里一女同学&#xff0c;结果此女总是躲躲闪闪。 男的看没戏&#xff0c;就另找了一个去追&#xff0c;结果这女的不满意了&#xff0c;质问这男的为啥抛弃她。 男的问&#xff1a;“请教一个电脑问题&#xff0c;如果你点击一个程序&#xff0c;总是提示…
阅读更多...
[openCV]基于赛道追踪的智能车巡线方案V1

[openCV]基于赛道追踪的智能车巡线方案V1

import cv2 as cv import os import numpy as npimport time# 遍历文件夹函数 def getFileList(dir, Filelist, extNone):"""获取文件夹及其子文件夹中文件列表输入 dir&#xff1a;文件夹根目录输入 ext: 扩展名返回&#xff1a; 文件路径列表""&quo…
阅读更多...
ffmpeg.c源码与函数关系分析

ffmpeg.c源码与函数关系分析

介绍 FFmpeg 是一个可以处理音视频的软件&#xff0c;功能非常强大&#xff0c;主要包括&#xff0c;编解码转换&#xff0c;封装格式转换&#xff0c;滤镜特效。FFmpeg支持各种网络协议&#xff0c;支持 RTMP &#xff0c;RTSP&#xff0c;HLS 等高层协议的推拉流&#xff0c…
阅读更多...
docker创建镜像并上传云端服务器

docker创建镜像并上传云端服务器

docker创建镜像并上传云端服务器 docker容器与镜像的关系1.基本镜像相关文件创建1.1 创建dockerfile文件1.2.创建do.sh文件1.3 创建upload_server_api.py文件1.4 创建upload_server_webui.py文件1.5 文件保存位置 2. 创建镜像操作2.1 创建镜像2.3 创建容器2.2 进入环境容器2.3 …
阅读更多...
Jenkins工具系列 —— 启动 Jenkins 服务报错

Jenkins工具系列 —— 启动 Jenkins 服务报错

错误显示 apt-get 安装 Jenkins 后&#xff0c;自动启动 Jenkins 服务报错。 排查原因 直接运行jenkins命令 发现具体报错log&#xff1a;Failed to start Jetty或Failed to bind to 0.0.0.0/0.0.0.0:8080或Address already in use 说明&#xff1a;这里提示的是8080端口号…
阅读更多...
LNMP及论坛搭建（第一个访问，单节点）

LNMP及论坛搭建（第一个访问，单节点）

LNMP&#xff1a;目前成熟的一个企业网站的应用模式之一&#xff0c;指的是一套协同工作的系统和相关软件 能够提供静态页面服务&#xff0c;也可以提供动态web服务&#xff0c;LNMP是缩写 L&#xff1a;指的是Linux操作系统。 N&#xff1a;指的是nginx&#xff0c;nginx提…
阅读更多...
【Vue3项目实战】vue3项目基于el-menu封装左侧菜单栏组件

【Vue3项目实战】vue3项目基于el-menu封装左侧菜单栏组件

文章目录 概述一、先看效果1.1 静态效果1.2 动态效果 二、核心思路三、全量代码3.1 文件目录结构3.2 /sidebar/index.vue 中3.3 /sidebar/sidebarItem.vue 中3.4 路由表结构 四、代码讲解五、SVG组件六、系列文章友链1、[配置husky、stylelint、commitlint&#xff0c;实现git提…
阅读更多...
HadoopWEB页面上传文件报错Couldn‘t upload the file course_info.txt

HadoopWEB页面上传文件报错Couldn‘t upload the file course_info.txt

HadoopWEB页面上传文件报错Couldn’t upload the file course_info.txt 右键F2检查发现&#xff1a;文件上传PUT操作的IP地址是节点IP别名识别不到导致 解决方法&#xff1a;在WEB页面访问浏览器所在机器上面配置hosts映射地址(注意:配置的是浏览器访问的地址不是hadoop节点所在…
阅读更多...
使用Golang实现一套流程可配置，适用于广告、推荐系统的业务性框架——组合应用

使用Golang实现一套流程可配置，适用于广告、推荐系统的业务性框架——组合应用

在《使用Golang实现一套流程可配置&#xff0c;适用于广告、推荐系统的业务性框架——简单应用》中&#xff0c;我们看到了各种组合Handler的组件&#xff0c;如HandlerGroup和Layer。这些组件下面的子模块又是不同组件&#xff0c;比如LayerCenter的子组件是Layer。如果此时我…
阅读更多...
网络安全（黑客）自学的误区

网络安全（黑客）自学的误区

一、自学网络安全学习的误区和陷阱 1.不要试图先成为一名程序员&#xff08;以编程为基础的学习&#xff09;再开始学习 我在之前的回答中&#xff0c;我都一再强调不要以编程为基础再开始学习网络安全&#xff0c;一般来说&#xff0c;学习编程不但学习周期长&#xff0c;而…
阅读更多...
项目中使用非默认字体

项目中使用非默认字体

项目场景&#xff1a; 由于开发需要&#xff0c;默认的字体不符合开发需求&#xff0c;有时候我们需要引入某种字体到项目中 解决方案&#xff1a; 首先需要下载或引入字体包 然后创建一个 index.css 文件用于声明引入字体名称 font-face {font-family: "YouSheBiao…
阅读更多...
C语言多级指针

C语言多级指针

#include "stdio.h" #include <stdlib.h>int main() {int a 10;//*p int a int *pint* p &a;int** q &p;//int** q int *(*q) int *(q) a//int**q int*(*q) int*(&a) int*&a aint*** k &q;//分析&#xff1a;首先k是个变量&…
阅读更多...
大模型系列｜基于大模型复杂数据系统架构（二）

大模型系列｜基于大模型复杂数据系统架构（二）

张俊林老师在 2023 WAIC AI 开发者论坛的演讲非常有概括性&#xff0c;这边沿着思路进行一定的整理。&#xff08;文章来源&#xff1a;WAIC 2023 | 张俊林&#xff1a;大语言模型带来的交互方式变革&#xff09; 文章目录 1 PlanningProgramming 模式的系统技术架构2 HuggingG…
阅读更多...
【Linux】创建与删除用户

【Linux】创建与删除用户

新增用户&#xff1a; adduser 用户名【添加用户】 passwd 用户名【设置用户密码】删除用户&#xff1a; userdel -r 用户名【删除用户】
阅读更多...
【多模态】23、RO-ViT | 基于 Transformer 的开发词汇目标检测（CVPR2023）

【多模态】23、RO-ViT | 基于 Transformer 的开发词汇目标检测（CVPR2023）

文章目录 一、背景二、方法2.1 基础内容2.2 Region-aware Image-text Pretraining2.3 Open-vocabulary Detector Finetuning 三、效果3.1 细节3.2 开放词汇目标检测效果3.3 Image-text retrieval3.4 Transfer object detection3.5 消融实验 论文&#xff1a;Region-Aware Pretr…
阅读更多...
最新文章

Copyright @ 2022~2023