forestHog 1.3.6

简介

它是trufflehog的一个分支，为检查带来了更多的灵活性。在git存储库中搜索秘密，深入挖掘提交历史和分支。这样可以有效地发现意外犯下的秘密。

安装

pip install forestHog

foresthog

trufflehog以前在git diff上运行熵检查。此功能仍然存在，但已添加了高信号正则表达式检查，并添加了支持熵检查的功能。

这些功能有助于减少噪音，使工具更容易插入DevOps管道。

forestHog --regex https://github.com/dxa4481/truffleHog.git

您还可以直接从文件系统检查repo：

forestHog file:///user/dxa4481/codeprojects/truffleHog/

要启用熵检查，请使用以下命令：

forestHog --regex --entropy https://github.com/dxa4481/truffleHog.git

自定义

可以使用以下标志添加自定义regex--rules/path/to/rules。您还可以使用--add rules/path/to/rules标志添加regex和默认regex。它使扩展规则检查更容易，同时使用默认规则和自定义规则。由--rules或--add rules提供的文件应为以下格式的json文件：

{
    "RSA private key": "-----BEGIN EC PRIVATE KEY-----"
}

可以添加子域枚举、s3 bucket检测和其他非常定制的有用regex。

也可以在您认为有利于社区的上游贡献高信号正则表达式。欢迎使用azure密钥、twilio密钥、google计算密钥等，前提是可以构造高信号regex。

trufflehog的基本规则集源于https://github.com/dxa4481/trufflehog regexes/blob/master/trufflehogregexes/regexes.json" rel="nofollow">https://github.com/dxa4481/trufflehogregexes/blob/master/trufflehogregexes/regexes.json

您还可以检查程序在实际针对您的repo运行它之前将检查哪些regex。这是确保成功检测到自定义规则/正则表达式的有用检查：

forestHog --regex --show-regex <git_url>

将返回一个json响应。示例如下所示：

{
  "Slack Token": "(xox[p|b|o|a]-[0-9]{12}-[0-9]{12}-[0-9]{12}-[a-z0-9]{32})",
  "RSA private key": "-----BEGIN RSA PRIVATE KEY-----",
  ...
}

熵至少检查20个字母单词。您可以根据自己的喜好控制熵检查的字长和阈值。
--熵wc控制字长。[默认值：20]
--熵十六进制阈值控制为十六进制字符串计算的熵阈值。[默认值：3.0]
--entropy-b64-thresh控制为base64字符串计算的熵的阈值。[默认值：4.5]

工作原理

此模块将遍历每个分支的整个提交历史，检查每个提交的每个差异，并检查机密。这是由正则表达式和熵决定的。对于熵检查，foresthog将为每个大于--熵wc的文本块计算base64字符集和hexidecimal字符集的shannon熵。如果在任何时候熵超过了由--entropy hex thresh和--entropy-b64-thresh对于大于--entropy wc字符的字符串，它将打印到屏幕上。

帮助对话框

usage: forestHog [-h] [--json] [--show-regex] [--regex] [--rules RULES]
                     [--add-rules ADD_RULES] [--entropy]
                     [--entropy-wc ENTROPY_WC]
                     [--entropy-b64-thresh ENTROPY_B64_THRESH]
                     [--entropy-hex-thresh ENTROPY_HEX_THRESH]
                     [--since-commit SINCE_COMMIT] [--max-depth MAX_DEPTH]
                     [--branch BRANCH] [--repo-path REPO_PATH] [--cleanup]
                     git_url

Find secrets hidden in the depths of git.

positional arguments:
  git_url               URL for secret searching

optional arguments:
  -h, --help            show this help message and exit
  --json                Output in JSON
  --show-regex          prints out regexes that will computed against repo
  --regex               Enable high signal regex checks
  --rules RULES         Ignore default regexes and source from json list file
  --add-rules ADD_RULES
                        Adds more regex rules along with default ones from a
                        json list file
  --entropy             Enable entropy checks
  --entropy-wc ENTROPY_WC
                        Segments n-length words to check entropy against
                        [default: 20]
  --entropy-b64-thresh ENTROPY_B64_THRESH
                        User defined entropy threshold for base64 strings
                        [default: 4.5]
  --entropy-hex-thresh ENTROPY_HEX_THRESH
                        User defined entropy threshold for hex strings
                        [default: 3.0]
  --since-commit SINCE_COMMIT
                        Only scan from a given commit hash
  --max-depth MAX_DEPTH
                        The max commit depth to go back when searching for
                        secrets
  --branch BRANCH       Name of the branch to be scanned
  --repo-path REPO_PATH
                        Path to the cloned repo. If provided, git_url will not
                        be used
  --cleanup             Clean up all temporary result files

吉特森林

除了分析提交阶段静态代码的foresthog实用程序之外，还添加了另一个方便的工具git forest来将此代码分析与git hook集成。

启动林集成

可以使用以下命令启动集成。默认情况下，提交后和预推事件将集成。

git-forest init

初始化后，可以更改foresthog的配置使用git forest update子实用程序或直接编辑文件进行分析：<；git_root>；/.forest/config.json
json格式的配置示例如下：

pip install forestHog

pip install forestHog

pip install forestHog

pip install forestHog

pip install forestHog

pip install forestHog