GitHound

一个模式匹配、补丁攻击、批量捕获的秘密嗅探器。

GitHound 使用 GitHub 代码搜索、模式匹配和提交历史搜索来追踪 GitHub 上暴露的 API 密钥和其他敏感信息。与其他密钥查找工具不同，GitHound 利用 GitHub 代码搜索功能，能够搜索整个 GitHub，不局限于特定的仓库、用户或组织。 更多信息请参阅相关博客文章。

功能

• GitHub/Gist 代码搜索。这使 GitHound 能够定位任何用户上传的、在整个 GitHub 上暴露的敏感信息。
• 使用模式匹配、上下文信息和字符串熵来检测敏感数据
• 深入提交历史以发现未妥善删除的敏感信息
• 评分系统，可过滤常见的误报并优化密集的仓库挖掘
• Base64 检测和解码
• 可选择将 GitHound 构建为更大系统的一部分，包括 JSON 输出和自定义正则表达式

使用方法

echo "\"tillsongalloway.com\"" | git-hound 或 git-hound --subdomain-file subdomains.txt

设置

1. 在 https://github.com/tillson/git-hound/releases 下载适用于 Linux 系统的 GitHound 最新版本（使用 wget [url] 或从网页浏览器下载）。
2. 使用 tar -xzf [文件名] 解压下载的文件。你可能需要先使用 cd 命令进入下载文件夹。
3. 使用 cd 进入解压后的文件夹，通过创建 config.yml 文件来配置 GitHound（可以放在与 git-hound 二进制文件相同的目录下，或者放在 ~/.githound 目录下）。这里有一个配置示例 config.example.yml。确保你的用户名和密码用"引号"括起来，并将 config.example.yml 文件重命名为 config.yml。
4. 运行 ./git-hound 进行测试（确保你在正确的目录下！）

双因素认证

如果 GitHound 登录到你的 GitHub 账户，可能会触发双因素认证。你可以使用 --otp-code 向 GitHound 传递 2FA 验证码。 否则，GitHound 会在启动时提示你输入验证码。 你还可以在配置中提供 2FA 种子，这样就再也不用担心 2FA 了。 通过解码 GitHub 在 2FA 设置过程中显示的条形码来获取 2FA 种子。

API 密钥正则表达式

GitHound 使用 Gitleaks 作者维护的 API 密钥正则表达式数据库。

使用场景

企业：搜索暴露的客户 API 密钥

了解特定服务的 API 密钥模式可以让你在 GitHub 上搜索这些密钥。然后，你可以将自定义密钥正则表达式的匹配结果通过管道传输到你自己的脚本中，以测试 API 密钥是否有效并识别存在风险的账户。

echo "api.halcorp.biz" | githound --dig-files --dig-commits --many-results --regex-file halcorp-api-regexes.txt --results-only | python halapitester.py

为了检测未来的 API 密钥泄露，GitHub 提供了推送令牌扫描功能，可以在密钥被发布时立即检测到。

漏洞赏金猎人：搜索泄露的员工 API 令牌

我使用 GitHound 的主要目的是为漏洞赏金项目寻找敏感信息。对于高知名度的目标，--many-results 技巧和 --languages 标志对于抓取超过 100 页的结果很有用。

echo "\"uberinternal.com\"" | githound --dig-files --dig-commits --many-results --languages common-languages.txt --threads 100

GitHound 如何找到 API 密钥？

https://github.com/tillson/git-hound/blob/master/internal/app/keyword_scan.go GitHound 通过结合使用常见服务（如 Slack 和 AWS）的精确正则表达式和上下文敏感的通用 API 正则表达式来查找 API 密钥。这种方法可以找到看起来像 API 密钥的长字符串，这些字符串通常被"Authorization"和"API-Token"等关键词包围。GitHound 假设这些都是误报，然后通过 Shannon 熵、字典单词检查、唯一性计算和编码检测来证明它们的合法性。最后，GitHound 输出高度确定的结果。 对于包含加密秘密的文件，GitHound 会解码 base64 字符串并在解码后的字符串中搜索 API 密钥。

查看这篇博客文章以了解更多关于使用场景和方法的详细信息。

标志

使用方法：
  githound [标志]
参数：
      --config-file string      提供配置文件的路径。
      --debug                   启用详细的调试日志。
      --dig-commits             深入挖掘提交历史以查找更多密钥（CPU密集型）。
      --dig-files               深入挖掘仓库文件以查找更多密钥（CPU密集型）。
      --filtered-only           仅打印过滤后的结果（语言文件）
      --github-repo             仅在特定的Github仓库中搜索。
  -h, --help                    显示帮助信息
      --json                    以JSON格式打印结果
      --language-file string    提供自己的搜索语言列表（java, python）。
      --legacy                  使用旧版搜索方法。
      --many-results            使用过滤技巧搜索超过100页
      --no-api-keys             不搜索通用API密钥。
      --no-files                不搜索有趣的文件。
      --no-gists                不搜索Gists
      --no-keywords             不搜索内置关键词
      --no-repos                不搜索仓库
      --no-scoring              不使用评分过滤虚假匹配。
      --otp-code string         用于登录的Github账户2FA令牌。（仅在您的账户通过身份验证器应用启用了2FA时使用）
      --pages int               每个查询搜索的最大页数（默认100）
      --regex-file string       正则表达式列表的路径。（默认"rules.toml"）
      --results-only            仅打印匹配字符串。
      --subdomain-file string   包含子域列表（或其他查询）的文件。
      --threads int             用于挖掘的线程数（默认20）

开发
在VS Code中发送参数

在launch.json中将需要的参数作为args发送
"args": [
"searchKeyword",
"tillsongalloway.com",
"--regex-file",
"regexes.txt"
]

构建项目

在主文件夹中执行：go build .

构建Docker镜像
要为Git-Hound构建Docker镜像，使用以下命令：

docker build -t my-githound-container .

此命令使用标签my-githound-container构建Docker镜像。您可以根据喜好更改标签名称。

运行容器
要运行Git-Hound Docker容器，您需要通过Docker卷提供config.yaml文件和任何输入文件（如subdomains.txt）。

挂载config.yaml
将config.yaml文件放在主机上的已知位置。此文件应包含您的Git-Hound配置，包括GitHub凭据。

config.yaml示例：

# config.yaml
github_username: "your_username"
github_password: "your_password"
# 可选：GitHub TOTP种子
# github_totp_seed: "ABCDEF1234567890"

挂载输入文件
如果您有subdomains.txt等文件，将其放在主机上的目录中。

运行命令
使用以下命令运行带有配置和输入文件的容器：

docker run -v /path/to/config.yaml:/root/.githound/config.yaml -v $(pwd)/data:/data my-githound-container --subdomain-file /data/subdomains.txt

将/path/to/config.yaml替换为config.yaml文件的实际路径。-v $(pwd)/data:/data部分将包含输入文件（subdomains.txt）的目录挂载到容器中。

注意
- 运行Docker容器时，确保config.yaml和输入文件的路径正确。
- 此设置假定git-hound与提供的配置和命令行参数兼容。
- 如果git-hound有任何更新或更改，请重新构建Docker镜像。

用户反馈

这些是关于人们如何在工作流程中使用GitHound以及我们如何使GitHound满足这些需求的讨论。如果您使用GitHound，请考虑在活跃的问题中留下注释。
[请求用户反馈的问题列表](https://github.com/tillson/git-hound/issues?q=is%3Aissue+is%3Aopen+label%3A%22user+feedback+requested%22)

高级监控和参与
您是否希望更深入地了解贵公司在GitHub上的存在？我们将GitHound作为更大系统的一小部分，可以在GitHub和DockerHub等开源网站上查找凭据泄露和敏感/专有信息。我们提供对整个GitHub的持续监控服务（不仅限于您知道由员工持有的账户！）以及红队参与/咨询服务。

在此处了解更多信息：https://secretsurfer.xyz。

参考文献

- [How Bad Can It Git? Characterizing Secret Leakage in Public GitHub Repositories (Meli, McNiece, Reaves)](https://www.ndss-symposium.org/wp-content/uploads/2019/02/ndss2019_04B-3_Meli_paper.pdf)