前言

GitHub作为开源代码平台,给程序员提供了交流学习的地方,提供了很多便利,但如果使用不当,比如将包含了账号密码、密钥等配置文件的代码上传了,导致攻击者能发现并进一步利用这些泄露的信息进行攻击测试。而本篇文章将介绍一款实用性较强的GitHub敏感信息收集利器——GSIL。

GSIL环境搭建

下载安装包

首先前往GitHub下载GSIL项目(地址:https://github.com/FeeiCN/GSIL)

之后解压到自己指定的文件夹目录下面:

安装依赖库

之后安装第三方依赖库(注意这里需要使用Python3环境来运行该项目):

pip3 install -r requirements.txt

修改配置文件

config.gsil

之后便是修改配置文件,在这里我们需要自我注册2个新的QQ或者163或者其他的邮箱用来发送邮件和接受邮件,下面以QQ邮箱为例演示配置流程,首先我们先来看一下GSIL提供的默认的配置文件:

[mail]
host : smtp.exmail.qq.com  
port : 465
mails : 2120395064@qq.com
from : GSIL
password : your_password
to : feei@feei.cn
cc : feei@feei.cn

[github]
clone : false
tokens : your_github_token

上面的mail中的host为邮件服务器的host地址,port为端口号,mails为你的邮件地址(发送邮件),password为授权码,具体获取方式如下:
设置——》账户,在该页面中找到如下界面

之后点击开启POP3/SMTP服务并进行密保验证:

之后即可获得你的授权码

to这是配置接受邮件的邮箱地址,cc则是邮件抄送的接受地址,这里cc建议和to配置一样,如果有多个用户在用的话可以抄送多个~
最后则是GitHub的配置了,这里我们需要生成一个GitHub的token,具体流程如下:
访问如下链接:https://github.com/settings/tokens

输入密码进行安全验证

之后填写个人Access Token选项:

之后点击生成Token即可查看该Token:

最后完成配置文件如下:

[mail]
host : smtp.qq.com
port : 465
mails : 21*****4@qq.com
from : GSIL
password : zqbinndtnihtdigh
to : h****y@163.com
cc : h****y@163.com

[github]
clone : false
tokens : cef****************************ad7
rules.gsil.example

该文件主要用于配置搜索规则,下面为官方给出的一个配置规则说明实例,用户可以更具需求来进行配置:

{
    # usually using the company name, used as the first parameter to open the scan(Example:`python gsil.py test`)
    "test": {
        # General use of product name
        "mogujie": {
            # Internal domain name of the company
            "\"mogujie.org\"": {
                # mode/ext options no need to configure by default
                "mode": "normal-match",
                "ext": "php,java,python,go,js,properties"
            },
            # Company code's characteristic code
            "copyright meili inc": {},
            # Internal host domain name
            "yewu1.db.mogujie.host": {},
            # External mailbox
            "mail.mogujie.com": {}
        },
        "meilishuo": {
            "meilishuo.org": {},
            "meilishuo.io": {}
        }
    }
}

GSIL实战操作

下面以OSS存储桶为例来搜索GitHub中泄露的OSS存储桶账户密码信息,首先我们跟新配置规则如下:

{
    "oss": {
        "oss": {
            "AccesskeySecret AccessKeyId oss": {
                "mode": "normal-match",
                "ext": "php,java,python,go,js,properties"
            }
        }
    }
}

之后我们查看一下GitHub的token是否可以使用(如果不可以使用则使用之前介绍的流程重新生成一个token即可)

之后使用Python3运行该项目并且添加搜索配置的名称,之后就开始调用GitHub的相关查询接口来更具搜索匹配规则来进行匹配查询信息:


之后你会在你之前配置文件中配置的接受邮箱中收到查询到的信息:

之后查看邮箱详情即可看到相关的OSS链接敏感信息

点击链接即可查看GitHub中的源文件信息

之后使用oss-browser来链接看看:

发现可以成功接入并且可以查看敏感信息

还有其他的就不一一列举了,总之这款工具还是挺强大的~
PS:在默认情况下该工具只会再搜素结果中匹配前200项的内容,但我们可以修改文件来更改搜索的范围页数等

这里只是简单的举了一个oss存储桶的例子,用户可以根据自我的需要来配置搜索规则,之后采集GitHub中泄露的敏感信息,进行深入利用等,该工具也同样适用于甲方安全人员。

参考

https://feei.cn/gsil/
https://github.com/FeeiCN/GSIL

点击收藏 | 3 关注 | 1
登录 后跟帖