ITrig - Entwicklung

truffleHog3 – Passwörter und Zugangsdaten in Git, Github, Gitlab oder AWS finden und entfernen

nospam@example.com (Guenny) — Sun, 27 Nov 2022 11:09:00 +0100

Bereits im April dieses Jahres wurde Version 3 des Repository-Security-Tools Trufflehog veröffentlicht. Zeit, einen eigenen Artikel über das bekannte Kali Tool zu verfassen.

Was ist Trufflehog

Leaked credentials oder secret keys sollten nicht in Github Repositorys zu finden sein, dennoch passiert dies öfters als gedacht. Genau hier setzt das Tool truffleHog3 an, es scannt Repositorys und mehr auf Geheimnisse wie Zugangsdaten, API Keys usw.

Das Security-Tool durchläuft dabei die gesamte Commit-Historie jedes Branches, prüft jedes diff von jedem commit und sucht nach Geheimnissen.

Möglich wird dies unter anderem durch die Verwendung von regulären Ausdrücken und Entropie.

Mit der Version 3 unterstützt truffleHog inzwischen mehr als 700 verschiedene Key Types von AWS, Azure, Confluent oder Facebook. Eine Übersicht der Detektoren ist hier zu finden.

Folgende Code Quellen werden momentan unterstützt:

git
github
gitlab
S3
filesystem
syslog

Installation

Die Trufflehog Installation erfordert eine funktionierende GO Installation. Alternativ kann auch auf Python Pip zurückgegriffen werden, allerdings wird via Pip momentan keine aktuelle Version angeboten. Für einen Test bietet sich die Docker Variante an.

#Aktuellste Version
git clone https://github.com/trufflesecurity/trufflehog.git
cd trufflehog
go install oder go build

#Via Python Pip (allerdings steht hier nur Version 3.0.x zur Verfügung)
pip3 install trufflehog3

#Die aktuellste Version via Docker Paket laufen lassen

docker run -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --org=trufflesecurity

Anwendungsbeispiele

#Hilfe
trufflehog --help

#github scan mit Optionen
trufflehog github --repo=https://github.com/trufflesecurity/trufflehog

trufflehog github --repo=https://github.com/trufflesecurity/trufflehog --json --only-verified

#AWS scan
trufflehog s3 --bucket=<bucket name> --only-verified

#Dateisystem
trufflehog filesystem --directory=/home/guenny/ansible/repository

Da die aktuellste Version momentan nur via Source/Docker zur Verfügung steht, können Gitlab, S3 und Co nur darüber gescannt werden

  git [<flags>] <uri>
    Find credentials in git repositories.

  github [<flags>]
    Find credentials in GitHub repositories.

  gitlab --token=TOKEN [<flags>]
    Find credentials in GitLab repositories.

  filesystem --directory=DIRECTORY
    Find credentials in a filesystem.

  s3 [<flags>]
    Find credentials in S3 buckets.

  syslog [<flags>]
    Scan syslog

Passwörter und andere Geheimnisse aus Git-Repositories entfernen

Was tun, wenn ein Passwort gefunden wurde?

Git Filter Branch bietet eine Möglichkeit, um dieses Problem zu beheben.

Beispielsweise:

git filter-branch --prune-empty --index-filter "git rm --cached -f --ignore-unmatch löschdatei" -- --all

Git Filter Branch ist ein sehr mächtiges Tool, daher verweist Github selbst auf den BFG Repo Cleaner und git filter-Repo

Mit ersterem lassen sich relativ einfach sensitive Dateien löschen oder ersetzen.

bfg --delete-files id_{dsa,rsa}  my-repo.git
bfg --replace-text passwords.txt  my-repo.git
git push --force

Wenn ein Passwort im letzten Commit vorhanden ist, würde übrigens auch amend ausreichen:

git commit --amend

Fazit

Vergessene Zugangsdaten in Repositorys schaffen unnötige Sicherheitslücken. Diese lassen sich mit TruffleHog einfach aufspüren. Das Tool unterstützt inzwischen weit mehr als nur Github. So lässt sich der gesamte Software Development Life Cycle/SDLC bei Bedarf überwachen.

Mit TruffleHog Enterprise bietet der Hersteller inzwischen eine GUI in der Cloud an, allerdings lässt er sich diese auch bezahlen. Für eine automatisierte Überwachung der eigenen Repositorys lassen sich alle Aufgaben via Kommandozeile erledigen.

Was bedeutet: WARNING apt does not have a stable CLI interface. Use with caution in scripts?

nospam@example.com (Guenny) — Sun, 25 Sep 2022 11:33:00 +0200

Beim Ausführen von Skripten auf einer Linux Konsole, die apt install beinhalten, taucht folgende Meldung auf:

WARNING : apt does not have a stable CLI interface. Use with caution in scripts.

Doch warum wird eine Warnung angezeigt? Die Lösung ist relativ simpel.

Vor Jahren hatte ich mal eine Übersicht von apt vs. apt-get veröffentlicht. Ich habe sie euch unten noch einmal eingebunden.
Im Artikel ist zu lesen, dass apt unter anderem einen grafischen Fortschrittsbalken ausgibt.

Genau das ist einer der Gründe, warum das Kommandozeilentool bei der Verwendung in Scripten ein WARNING meldet. Denn diese Fortschritts-Ausgabe kann von Scripten fehlerhaft interpretiert werden und ist im Prinzip nur für Endnutzer gemacht, aber nicht wirklich für Skripte. Darum sollte hier eher auf apt-get zurückgegriffen werden.

Gleiches gilt übrigens auch für apt show programm-name. Hier sollte besser apt-cache show programm-name verwendet werden.

apt vs. apt-get
apt Kommando	apt-get Kommando	Funktion
apt install	apt-get install	Pakete installieren
apt remove	apt-get remove	Pakete deinstallieren
apt list --upgradable	--	Anstehende Updates anzeigen
apt list	dpkg list	Pakete auflisten
apt purge	apt-get purge	Pakete und Konfiguration entfernen
apt update	apt-get update	Repository aktualisieren
apt upgrade	apt-get upgrade	Anstehende Pakete aktualisieren
apt full-upgrade	apt-get dist-upgrade	Anstehende Pakete aktualisieren und deinstallieren
apt autoremove	apt-get autoremove	Nicht benötigte Pakete deinstallieren
apt search	apt-cache search	Pakete suchen
apt show	apt-cache show	Paketdetails anzeigen
apt edit-sources	--	sources.list editieren

ParrotOS 5.0 LTS und Kali Linux 2022.1 veröffentlicht

nospam@example.com (Guenny) — Sun, 27 Mar 2022 18:38:00 +0200

Parrot 5.0

Nach über einem Jahr wurde Parrot 5.0 als LTS Version veröffentlicht.

Die bekannten Editionen wurden weitgehend (bis auf die MATE Arbeitsumgebung) beibehalten. Es gibt weiterhin eine Home Edition und eine Security Edition.

Mit Parrot Architekt wurde die ARM Edition wiederbelebt, dabei handelt es sich um eine minimale Variante, die nicht viel mehr als einen Installer mitbringt. Sie eignet sich nach Angaben der Entwickler für WSL Portierungen oder Server Varianten.

Hack the Box

Vor einiger Zeit hatte Parrot die Zusammenarbeit mit Hack The Box bekannt gegeben. Daraus ist PwnBox entstanden, welches via Hack The Box direkt im Browser verwendet werden kann. Details zur Verwendung finden sich hier.

Die PwnBox erinnert an die virtuellen Browsersysteme von Try Hack Me, wobei THM ein etwas anderes Modell verfolgt.

Mit Release 5.0 kann diese PwnBox Edition ebenfalls heruntergeladen werden.

Technische Neuerungen

Anders als frühere Versionen basiert Parrot nun auf Debian 11 Stable. Zusätzlich wurde ein Rolling Release Modell für Security Updates eingeführt.

Der neue Kernel basiert auf Version 5.6

Tools

Wie bei jedem Update wurde auch das Toolset erweitert.

Das Pocsuite3 Security Framework des Knownsrc 404 Teams wurde aufgenommen. Bei Pocsuite handelt es sich um ein freies Tool zum Aufspüren von Sicherheitslücken
Mit findmyhash 2.0 wurde die neueste Version des Hash Crackers integriert
Das neue Tool Dirsearch ist ein klassischer Path Scanner
Python3-pcodedmp ist neu dabei, ein VBA P-Code disassembler
Mimipenguin erlaubt das dumpen von Login Daten des aktuellen Linux Nutzer
MS Office Freunde erhalten mit den oletools das richtige Werkzeug, um Dokumente zu untersuchen.
Windows Nutzer können mit Pyinstxtractor den Inhalt von PyInstaller exe Dateien extrahieren.
Für die Fuzzer wurde Ffuf aufgenommen
Ivy ist ein Payload Creation Tool für VBA
Jwtxploiter testet JSON Web Tokes gegen die CVE Datenbank

Kali Linux 2022.1

Auch der Branchenprimus liefert regelmäßig aktualisierte Distribution aus. Das aktuelle Jahresrelease 2022.1 von Mitte Februar wurde optisch aufgepeppt und bringt frische Hintergrundbilder und ein neues Grub Theme mit. Die Browser Startseite und das Shell Prompt (aus dem Totenkopf ist ein K geworden) wurden überarbeitet.

Mit dem „Kali Linux Everything“ Image kann jetzt eine ISO mit allen Tools heruntergeladen werden. Aufgrund der Größe (bis zu 9.5 GB) ist dieses allerdings nur via Torrent verfügbar.

Nutzer einer Gast-VM mit i3 Umgebung kommen nun in den Genuss von copy/paste und drag&drop. Dieses Feature wird inzwischen automatisch aktiviert.

Tools

Neue Werkzeuge dürfen auch beim Kali Release nie fehlen:

dnsx - Schnelles und vielseitiges DNS-Toolkit
email2phonenumber - Ein OSINT-Tool, um die Telefonnummer einer Zielperson via E-Mail-Adresse zu ermitteln
naabu – Nein, nicht der Naturschutzbund, sondern ein schneller Port-Scanner
nuclei - Gezieltes Scannen mithilfe von Vorlagen
PoshC2 - Ein proxyfähiges C2-Framework mit Post-Exploitation
proxify - Schweizer Taschenmesser Proxy-Tool für die Erfassung und Manipulation HTTP/HTTPS-Traffic

ARM Tools

Auch auf der ARM Architektur wurden neue Tools integriert. So wurde mit Ghidra das bekannte SRE Framwork aufgenommen und mit Feroxbuster ein in Rust geschriebenes Force Browsing Tool, welches mithilfe von Wortlisten gut dafür geeignet ist, versteckte Verzeichnisse und Dateien zu finden

Übersicht 03/2022

Name	Version	Tools	Basis	GUI
Autopsy	4.18	???	Windows
BackBox	7.0	100+	Ubuntu	Xfce
BlackArch	2021.09	1750+	ArchLinux	Multi
CAINE	11	100+	Ubuntu	Mate
~~DracOS~~	~~3.0~~		~~LFS~~	~~DWM~~
~~DEFT Zero~~	~~2018.2~~		~~Lubuntu~~	~~Lxde~~
Kali Linux	2022.1	600+	Debian 11	Multi
Kali AppStore		40+	Android
~~LionSec~~	~~5.0~~		~~Ubuntu~~
~~Matriux~~	~~v3 RC1~~		~~Debian~~	~~Gnome~~
NST	34	???	Fedora
~~NetSecL OS~~	~~6.0~~		~~OpenSuse~~	~~Lxde~~
~~Paladin~~	~~7.0~~		~~Ubuntu~~
Parrot OS	5	700+	Debian 11	Mate
~~Pentoo~~	~~2018.0 RC7.1~~		~~Gentoo~~	~~Xfce~~
~~Ronin~~			~~Lubuntu~~	~~Lxde~~
~~Sans SIFT~~	~~3.0~~		~~Ubuntu~~

Security Tools: Trivy – Docker Container auf Sicherheitslücken durchsuchen

nospam@example.com (Guenny) — Sun, 09 Jan 2022 21:17:00 +0100

Container sind nach wie vor in alle Munde. Wer, der Einfachheit halber, mit Docker hantiert, der sollte regelmäßig die Aktualität der verwendeten Images prüfen. Nicht erst seit Log4j verbergen sich unerwünschte Sicherheitslücken in veralteten Images.

Trivy

Das Open-Source-Tool Trivy bietet die Möglichkeit lokale Images, direkt im Filesystem oder entfernte Repositorys nach Lücken zu scannen. Das Programm scannt unter anderen Base Images wie Alpine, Debian, Ubuntu, CentOS, SUSE, Photon OS, Paketmanager und andere Abhängigkeiten mithilfe der eigenen Schwachstellendatenbank ab.

Die Trivy Datenbank basiert auf NVD und diverser Security Meldungen einzelner Programmiersprachen (siehe).

Installation Trivy Security Scanner Debian/Ubuntu

sudo apt-get install wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install trivy

Einen Scan mit Trivy anstoßen

Um die Übersicht der Scanergebnisse zu behalten, empfiehlt es sich, die Ausgabe auf kritische Lücken zu beschränken

trivy image --severity HIGH,CRITICAL IMAGENAME

Das Tool erlaubt es ebenfalls einen HTML Report zu veröffentlichen

trivy image --format template --template "@contrib/html.tpl" -o report.html golang:1.12-alpine

Trivy kann auch das Filesystem untersuchen.

trivy fs /path/to/project

Schlussendlich kann auch direkt via GitHub gescannt werden.

trivy repo https://github.com/knqyf263/trivy-ci-test

Fazit

Wer Docker im Einsatz hat, sollte die verwendeten Images regelmäßig auf Sicherheitslücken und Abhängigkeiten prüfen. Der Profi baut seine Images sicher selbst und weiß, was er tut, allerdings übersieht ein DevOp auch dort mal Abhängigkeiten. Auch hier schafft Trivy praktische Abhilfe, denn es lässt ich schnell in CI Workflows, beispielsweise von Gitlab integrieren.

Security Distributionen: BlackArch 2021.09 und Kali Linux 2021.3

nospam@example.com (Guenny) — Mon, 27 Sep 2021 10:39:00 +0200

Kali Linux 2021.3

Neues Quartal neues Kali Linux.

TLS 1.x

Mit Version 2021.3 wurden unter anderem alte Brötchen wieder aufgewärmt. So ist TLS 1.0 und TLS 1.1 unter OpenSSL wieder aktiv. Hintergrund sind mögliche Tests mit alten Systemen, welche noch mit den alten Standards laufen. Mit dem Befehl kali-tweaks lassen sich die Einstellungen allerdings jederzeit anpassen.

Virtuelle Maschinen

Virtuelle Maschinen haben eine bessere Unterstützung erhalten. So sollte nun ein Copy & Paste zwischen Host und virtuellem Zielsystem funktionieren. Unter Windows wurde mit dem Hyper-V Enhanced Session Mode die Möglichkeit für USB Sticks als lokale Ressource geschaffen.

Auch diese Funktion lässt sich über den Befehl kali-tweaks einrichten.

Smartwatches und Android 11 ohne TWRP

Neben der ersten Smartwatch TicHunter-Pro können Android 11 Smartphones nun via Magisk bespielt werden. Bisher war dies nur über das TWRP möglich. Das Projekt befindet sich allerdings noch am Anfang und ist mit Vorsicht zu genießen.

ARM

Kali für ARM hat neue Build Scripts erhalten, diese unterstützen nun auch RaspberryPi Zero.

Die aktualisierten Scripts erstellen ein neues Snakeoil Zertifikat. Als neue Standard Shell wird ZSH integriert. Dies lässt sich über das bereits bekannte kali-tweaks anpassen. Ebenfalls werden kalipi-config und kalipi-tft-config vorinstalliert.

Pinebook Freunde dürfen sich außerdem über einen neuen Kernel und einen hübscheren Bootscreen freuen.

Doku ist alles

Die neue Kali Tools Seite soll nicht unerwähnt bleiben. Sie bietet eine moderne und praktische Übersicht aller vorhandener Software.

BlackArch hat so eine Übersicht schon etwas länger und in der Vergangenheit ebenfalls ein neues Release veröffentlicht.

BlackArch 2021.09

Nachdem Kali Linux vorgelegt hatte, zieht BlackArch mit einer neuen Version nach.

Das auf Arch Linux basierende System bringt nach eigener Aussage nun 2700 Tools mit.

Welche Werkzeuge euch genau zur Verfügung stehen, könnt ihr dieser Tool-Liste entnehmen.

BlackArch 2021.09 läuft mit dem Kernel 5.13.10. Neben einem neuen Textinstaller gab es die üblichen Updates.

Übersicht 09/2021

Name	Version	Tools	Besonderes	Basis	GUI
Autopsy	4.18	???	The Sleuth Kit	Windows
BackBox	7.0	100+	AWS	Ubuntu	Xfce
BlackArch	2021.09	1750+	ArchLinux	ArchLinux	Multi
CAINE	11	100+	WinUFO	Ubuntu	Mate
~~DracOS~~	~~3.0~~		~~veraltet~~	~~LFS~~	~~DWM~~
~~DEFT Zero~~	~~2018.2~~		~~offline~~	~~Lubuntu 14.04~~	~~Lxde~~
Kali Linux	2021.03	300+	Plattformen	Debian Testing	Multi
Kali AppStore		40+		Android
~~LionSec~~	~~5.0~~		~~veraltet~~	~~Ubuntu~~
~~Matriux~~	~~v3 RC1~~		~~offline~~	~~Debian~~	~~Gnome~~
NST	34	???	Server integriert	Fedora
~~NetSecL OS~~	~~6.0~~		~~veraltet~~	~~OpenSuse~~	~~Lxde~~
~~Paladin~~	~~7.0~~			~~Ubuntu~~
Parrot OS	4.11.2	700+	Cloud fähig	Debian Buster	MATE/KDE
~~Pentoo~~	~~2018.0 RC7.1~~		~~veraltet~~	~~Gentoo~~	~~Xfce~~
~~Ronin~~			~~veraltet~~	~~Lubuntu~~	~~Lxde~~
~~Sans SIFT~~	~~3.0~~		~~veraltet~~	~~Ubuntu~~

ITrig - Entwicklung

truffleHog3 – Passwörter und Zugangsdaten in Git, Github, Gitlab oder AWS finden und entfernen

Was ist Trufflehog

Installation

Anwendungsbeispiele

Passwörter und andere Geheimnisse aus Git-Repositories entfernen

Was tun, wenn ein Passwort gefunden wurde?

Fazit

Ähnliche Artikel

Was bedeutet: WARNING apt does not have a stable CLI interface. Use with caution in scripts?

ParrotOS 5.0 LTS und Kali Linux 2022.1 veröffentlicht

Parrot 5.0

Hack the Box

Technische Neuerungen

Tools

Kali Linux 2022.1

Tools

ARM Tools

Übersicht 03/2022

Security Tools: Trivy – Docker Container auf Sicherheitslücken durchsuchen

Trivy

Installation Trivy Security Scanner Debian/Ubuntu

Einen Scan mit Trivy anstoßen

Fazit

Security Distributionen: BlackArch 2021.09 und Kali Linux 2021.3

Kali Linux 2021.3

TLS 1.x

Virtuelle Maschinen

Smartwatches und Android 11 ohne TWRP

ARM

Doku ist alles

BlackArch 2021.09

Übersicht 09/2021