一款能在GitHub代码库中探测密钥的工具：Truffle Hog
工具简介
这款名叫“Truffle Hog”的免费开源工具可以帮助开发人员检测自己在GitHub上发布的项目代码是否意外泄漏了密钥。
Truffle Hog是一款采用Python开发的工具，它可以检索GitHub代码库的所有代码提交记录以及分支，并搜索出可以表示密钥（例如AWS密钥）的高熵字符串。
运行机制
该工具的开发者Dylan Ayrey解释称：
“Truffle Hog会检索代码库中每一个分支完整的代码提交记录，而且也会检查每一次提交的git diff信息，然后对每一个长度超过20个字符的base64字符集和十六进制字符集的香农熵（ Shannon entropy ）进行估值。如果TruffleHog检测到了一个长度大于20个字符的高熵字符串，它便会将其打印输出至屏幕。”
一些Reddit用户目前已经在 社区开始讨论Truffle Hog 了，因为在此之前有攻击者曾利用工具在GitHub中搜索用户意外泄漏的AWS密钥，并将这些密钥用于恶意的AWS实例之中。由于这种类型的恶意活动会给亚马逊公司带来巨额的经济损失，因此亚马逊也将那些在公共代码库中意外泄漏了密钥的AWS账号暂时禁用了。
Dylan Ayrey是谁？
其实，有些用户可能早就熟知Ayrey了。Ayrey在去年曾专门制作了一个演示demo来警告用户“ Pastejacking攻击 ”危险性。这种基于JavaScript的攻击可以修改用户剪切板中的内容，然后诱使用户在其他地方粘贴这些内容。此时的用户并不知道他们所粘贴的是恶意代码，而这些恶意代码则有可能在计算机中的任何地方得到执行。
Truffle Hog项目在GitHub上已经拥有超过700多位粉丝了，而这也使得该项目成了Ayrey继Pastejack攻击demo之后第二火爆的开源项目了。
开发人员不应该粗心大意
开发人员在将自己的项目代码提交至GitHub之前，一定要再三检查代码中可能存在的敏感信息，而这一点安全研究专家也已经多次警告过社区的开发人员了。在2013年1月份，GitHub也推出了一款新的内部搜索功能，开发人员可以利用这个功能来搜索代码库中的密码、加密密钥、以及其他的敏感数据。该服务一经推出，广大用户就立刻在GitHub中扫描到了 大量意外泄漏的密钥 。
工具下载与安装 – 【 GitHub主页 】
下载
python truffleHog.py https://github.com/dxa4481/truffleHog.git
正文到此结束
热门推荐
相关文章
近期评论
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
搞个gitee的项目
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
