Трехступенчатый инструмент для аудита и восстановления открытых .git репозиториев
Запустите трехступенчатый аудит: Finder находит открытые .git папки, Dumper извлекает удаленные git объекты, Extractor восстанавливает дерево репозитория. GitTools, созданный yyqh01, работает как набор утилит командной строки на Windows через Python, Git Bash или WSL. Он нацелен на исследователей безопасности, тестировщиков на проникновение и системных администраторов, которым необходимо обнаружить неправильно настроенные .git каталоги, извлечь данные репозитория даже с отключенным списком каталогов и восстановить историю проекта для судебного анализа.
Как инструмент находит и получает доступ к открытым репозиториям
Finder сканирует предоставленные URL-адреса или диапазоны IP для обнаружения доступных .git папок, затем передает цели Dumper. Dumper извлекает объекты, используя известные пути и перебор, что позволяет ему получать файлы, когда список директорий заблокирован. Этот трехступенчатый процесс напрямую соответствует судебно-экспертному рабочему процессу обнаружения, получения и последующей реконструкции, а не полагается на одну монолитную процедуру.
Что он делает с хост-системой во время работы
GitTools работает как легковесные скрипты с минимальными зависимостями, поэтому он разворачивается в настольных средах без тяжелых установщиков. Набор взаимодействует с удаленными веб-серверами по стандартным HTTP(S) и другим поддерживаемым протоколам, выполняя только чтение данных .git из целей. Поскольку он основан на скриптах, вы можете запускать сканирования и дампы из сеанса терминала и планировать их в существующей автоматизации в часы низкой нагрузки.
Безопасность, объем и кто может им управлять
Инструмент предназначен для аудита и восстановления, используемого исследователями и администраторами: он работает из командной строки и не является графическим приложением. Экстрактор восстанавливает коммиты и ветки из загруженных объектов git, что помогает восстановить исходный код и метаданные. Поскольку операции получают доступ к открытым данным сервера, пользователи должны иметь разрешение на аудит цели; разработчик документирует его использование для тестирования безопасности и практики CTF.
Надежный для аудитов безопасности и восстановления, но ориентированный на командную строку
GitTools подходит техническим пользователям, которым нужен портативный, управляемый скриптами способ для поиска и восстановления данных из неправильно настроенных .git каталогов; его легкий дизайн упрощает развертывание в средах терминала Windows. Основной компромисс заключается в отсутствии графического интерфейса, что означает, что администраторам, предпочитающим рабочие процессы с помощью щелчка мыши, необходим терминальный рабочий процесс. Для судебной проверки открытых репозиториев инструмент выполняет задачу надежно при использовании с соответствующей авторизацией.
