trufflehog

KO | EN

gitlite — search

#react #javascript #css #typescript #golang #rust #reactjs #go #html #open-source #python #nextjs

★ 27,487 Open GitHub ↗

유출된 자격 증명을 찾고, 검증하고, 분석하세요

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

![GoReleaser Logo](https://storage.googleapis.com/trufflehog-static-sources/pixel_pig.png)

## TruffleHog

유출된 자격 증명을 찾아냅니다.

---

[![Go Report Card](https://goreportcard.com/badge/github.com/trufflesecurity/trufflehog/v3)](https://goreportcard.com/report/github.com/trufflesecurity/trufflehog/v3)
[![License](https://img.shields.io/badge/license-AGPL--3.0-brightgreen)](https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/LICENSE)
[![Total Detectors](https://img.shields.io/github/directory-file-count/trufflesecurity/truffleHog/pkg/detectors?label=Total%20Detectors&type=dir)](https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/pkg/detectors)

---
# :mag\_right: \_스캔 중\_

![](assets/scanning_logos.svg)
\*\*...그 외 다수\*\*
TruffleHog과 그 기능 및 역량에 대해 자세히 알아보려면 [제품 페이지](https://trufflesecurity.com/trufflehog?gclid=CjwKCAjwouexBhAuEiwAtW\_Zx5IW87JNj97Ci7heFnA5ar6-DuNzT2Y5nIl9DuZ-FOUqx0Qg3vb9nxoClcEQAvD\_BwE)를 방문하세요.

# :globe\_with\_meridians: TruffleHog Enterprise
**Git, Jira, Slack, Confluence, Microsoft Teams, Sharepoint (그 외 다수)**에서 자격 증명을 지속적으로 모니터링하는 데 관심이 있으신가요? 도움을 드릴 수 있는 엔터프라이즈 제품이 있습니다! 자세히 알아보려면 .
당사는 엔터프라이즈 제품에서 얻은 수익을 전체 커뮤니티가 혜택을 누릴 수 있는 더 멋진 오픈 소스 프로젝트에 자금을 지원하는 데 사용합니다.
# TruffleHog란 무엇인가요? 🐽
TruffleHog는 가장 강력한 시크릿 \*\*발견(Discovery), 분류(Classification), 검증(Validation),\*\* 및 \*\*분석(Analysis)\*\* 도구입니다. 이 맥락에서 시크릿이란 머신이 다른 머신에 자신을 인증하는 데 사용하는 자격 증명을 의미합니다. 여기에는 API 키, 데이터베이스 비밀번호, 개인 암호화 키 등이 포함됩니다.
## 발견 (Discovery) 🔍
TruffleHog는 Git, 채팅, 위키, 로그, API 테스트 플랫폼, 객체 스토어, 파일 시스템 등 다양한 곳에서 시크릿을 찾을 수 있습니다.
## 분류 (Classification) 📁
TruffleHog는 800개가 넘는 시크릿 유형을 분류하여 속한 특정 아이덴티티에 매핑합니다. AWS 시크릿인가요? Stripe 시크릿인가요? Cloudflare 시크릿인가요? Postgres 비밀번호인가요? SSL 개인 키인가요? 얼핏 봐서는 알기 어려운 경우가 많으므로, TruffleHog는 발견한 모든 것을 분류합니다.
## 검증 (Validation) ✅
TruffleHog가 분류할 수 있는 모든 시크릿에 대해, 해당 시크릿이 실제로 유효한지 로그인하여 확인할 수도 있습니다. 이 단계는 현재 활성화된 위험이 존재하는지 여부를 파악하는 데 매우 중요합니다.
## 분석 (Analysis) 🔬
가장 흔히 유출되는 자격 증명 유형 상위 20여 개에 대해, TruffleHog는 시크릿의 로그인 가능 여부를 확인하기 위해 하나의 요청을 보내는 대신 여러 요청을 보내 해당 시크릿에 대해 알아야 할 모든 것을 파악할 수 있습니다. 누가 생성했나요? 어떤 리소스에 접근할 수 있나요? 해당 리소스에 대해 어떤 권한을 가지고 있나요?
# :loudspeaker: 커뮤니티 참여하기
질문이나 피드백이 있으신가요? Slack이나 Discord에 참여하여 저희와 소통해 보세요.
[Slack 커뮤니티](https://join.slack.com/t/trufflehog-community/shared\_invite/zt-pw2qbi43-Aa86hkiimstfdKH9UCpPzQ) 가입하기
[Secret Scanning Discord](https://discord.gg/8Hzbrnkr7E) 참여하기
# :tv: 데모
![GitHub scanning demo](https://storage.googleapis.com/truffle-demos/non-interactive.svg)
```bash
docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --org=trufflesecurity
```
# :floppy\_disk: 설치
다음과 같은 여러 가지 방법을 사용할 수 있습니다.
### MacOS 사용자
```bash
brew install trufflehog
```
### Docker:
*\_다음 명령어를 실행하기 전에 Docker 엔진이 실행 중인지 확인하세요:\_*
####     Unix
```bash
docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test\_keys
```
####     Windows 명령 프롬프트
```bash
docker run --rm -it -v "%cd:/=\%:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test\_keys
```
####     Windows PowerShell
```bash
docker run --rm -it -v "${PWD}:/pwd" trufflesecurity/trufflehog github --repo https://github.com/trufflesecurity/test\_keys
```
####     M1 및 M2 Mac
```bash
docker run --platform linux/arm64 --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test\_keys
```
### 바이너리 배포판
```bash
Download and unpack from https://github.com/trufflesecurity/trufflehog/releases
```
### 소스코드로부터 컴파일
```bash
git clone https://github.com/trufflesecurity/trufflehog.git
cd trufflehog; go install
```
### 설치 스크립트 사용
```bash
curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin
```
### 설치 스크립트 사용 및 체크섬 서명 확인 (cosign 설치 필요)
```bash
curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -v -b /usr/local/bin
```
### 설치 스크립트를 사용하여 특정 버전 설치
```bash
curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin 
```
# :closed\_lock\_with\_key: 아티팩트 검증
체크섬이 적용됩니다

모든 아티팩트에 적용되며, 생성된 체크섬 파일은 cosign을 사용하여 서명됩니다.
서명을 검증하려면 다음 도구가 필요합니다:
- [Cosign](https://docs.sigstore.dev/cosign/system\_config/installation/)
검증 단계는 다음과 같습니다:
1. 원하는 아티팩트 파일과 [releases](https://github.com/trufflesecurity/trufflehog/releases) 페이지에서 다음 파일들을 다운로드합니다.
- trufflehog\\_{version}\\_checksums.txt
- trufflehog\\_{version}\\_checksums.txt.pem
- trufflehog\\_{version}\\_checksums.txt.sig
2. 서명을 검증합니다:
```shell
cosign verify-blob  \
--certificate  \
--signature  \
--certificate-identity-regexp 'https://github\.com/trufflesecurity/trufflehog/\.github/workflows/.+' \
--certificate-oidc-issuer "https://token.actions.githubusercontent.com"
```
3. 서명이 유효한 것으로 확인되면, SHA256 섬(sum)이 다운로드한 아티팩트와 일치하는지 검증을 진행할 수 있습니다:
```shell
sha256sum --ignore-missing -c trufflehog\_{version}\_checksums.txt
```
`{version}`을 다운로드한 파일의 버전으로 바꿉니다.
또는 설치 스크립트를 사용하는 경우, `-v` 옵션을 전달하여 서명 검증을 수행할 수 있습니다.
이를 위해서는 설치 스크립트를 실행하기 전에 Cosign 바이너리가 설치되어 있어야 합니다.
# :rocket: 빠른 시작
## 1: 검증된 시크릿만 포함하여 저장소 스캔하기
명령어:
```bash
trufflehog git https://github.com/trufflesecurity/test\_keys --results=verified
```
예상 출력:
```
🐷🔑🐷 TruffleHog. Unearth your secrets. 🐷🔑🐷
Found verified result 🐷🔑
Detector Type: AWS
Decoder Type: PLAIN
Raw result: AKIAYVP4CIPPERUVIFXG
Line: 4
Commit: fbc14303ffbf8fb1c2c1914e8dda7d0121633aca
File: keys
Email: counter 
Repository: https://github.com/trufflesecurity/test\_keys
Timestamp: 2022-06-16 10:17:40 -0700 PDT
...
```
## 2: 검증된 시크릿만 포함하여 GitHub 조직 스캔하기
```bash
trufflehog github --org=trufflesecurity --results=verified
```
## 3: 보관된(archived) 저장소를 제외하고 GitHub 조직 스캔하기
```bash
trufflehog github --org=trufflesecurity --exclude-archived
```
## 4: 검증된 시크릿만 포함하여 GitHub 저장소를 스캔하고 JSON 출력 받기
명령어:
```bash
trufflehog git https://github.com/trufflesecurity/test\_keys --results=verified --json
```
예상 출력:
```
{"SourceMetadata":{"Data":{"Git":{"commit":"fbc14303ffbf8fb1c2c1914e8dda7d0121633aca","file":"keys","email":"counter \u003ccounter@counters-MacBook-Air.local\u003e","repository":"https://github.com/trufflesecurity/test\_keys","timestamp":"2022-06-16 10:17:40 -0700 PDT","line":4}}},"SourceID":0,"SourceType":16,"SourceName":"trufflehog - git","DetectorType":2,"DetectorName":"AWS","DecoderName":"PLAIN","Verified":true,"Raw":"AKIAYVP4CIPPERUVIFXG","Redacted":"AKIAYVP4CIPPERUVIFXG","ExtraData":{"account":"595918472158","arn":"arn:aws:iam::595918472158:user/canarytokens.com@@mirux23ppyky6hx3l6vclmhnj","user\_id":"AIDAYVP4CIPPJ5M54LRCY"},"StructuredData":null}
...
```
TruffleHog는 `--json` 대신 `--sarif`를 사용하여 [SARIF](https://docs.oasis-open.org/sarif/sarif/v2.1.0/sarif-v2.1.0.html) 형식으로 출력할 수도 있습니다. GitHub 코드 스캔은 SARIF를 기본적으로 지원하므로, 이를 업로드하면 풀 리퀘스트 diff 및 저장소의 Security 탭에 발견된 내용이 인라인으로 표시되며, 매 실행마다 동일한 항목을 다시 보고하는 대신 스캔 간에 발견된 항목을 신규/수정됨으로 추적합니다. 업로드 방법에 대해서는 아래의 [TruffleHog Github Action](#octocat-trufflehog-github-action) 섹션을 참조하세요. 다른 출력 형식과 달리, SARIF 결과는 단일 JSON 문서 스트림이 아닌 전체 문서를 요구하므로 전체 스캔 동안 메모리에 버퍼링되었다가 마지막에 기록됩니다. 일반적인 스캔에는 문제가 없지만, 매우 많은 수의 결과를 생성하는 스캔에서는 비례하여 더 많은 메모리를 사용하게 됩니다.
## 5: GitHub 저장소와 해당 이슈 및 풀 리퀘스트 스캔하기
```bash
trufflehog github --repo=https://github.com/trufflesecurity/test\_keys --issue-comments --pr-comments
```
## 6: 높은 신뢰도의 결과(검증됨 + 알 수 없음)를 위해 S3 버킷 스캔하기
```bash
trufflehog s3 --bucket= --results=verified,unknown
```
## 7: IA를 사용하여 S3 버킷 스캔하기

IAM 역할
```bash
trufflehog s3 --role-arn=
```
## 8: Docker에서 SSH 인증을 사용하여 GitHub Repo 스캔하기
```bash
docker run --rm -v "$HOME/.ssh:/root/.ssh:ro" trufflesecurity/trufflehog:latest git ssh://github.com/trufflesecurity/test\_keys
```
## 9: 개별 파일 또는 디렉터리 스캔하기
```bash
trufflehog filesystem path/to/file1.txt path/to/file2.txt path/to/dir
```
## 10: 로컬 git repo 스캔하기
git repo를 복제합니다. 예를 들어 [test keys](git@github.com:trufflesecurity/test\_keys.git) repo를 복제합니다.
```bash
git clone git@github.com:trufflesecurity/test\_keys.git
```
상위 디렉터리(git repo 외부)에서 trufflehog를 실행합니다.
```bash
trufflehog git file://test\_keys --results=verified,unknown
```
로컬 스캔 시 악성 git 설정으로부터 보호하기 위해(CVE-2025-41390 참고), TruffleHog는 스캔 전에 로컬 git 저장소를 임시 디렉터리로 복제합니다. 이는 [Git의 보안 모범 사례](https://git-scm.com/docs/git#\_security)를 따릅니다. (tmp 대신) 저장소를 복제할 사용자 지정 경로를 지정하려면 `--clone-path` 플래그를 사용할 수 있습니다. 로컬 복제 과정을 건너뛰고 저장소를 직접 스캔하려면(신뢰할 수 있는 repo에만 이 방법을 사용하세요) `--trust-local-git-config` 플래그를 사용할 수 있습니다.
## 11: 검증된 시크릿만 GCS 버킷에서 스캔하기
```bash
trufflehog gcs --project-id= --cloud-environment --results=verified
```
## 12: 검증된 시크릿만 Docker 이미지에서 스캔하기
여러 이미지를 스캔하려면 `--image` 플래그를 여러 번 사용하세요.
```bash
# 원격 레지스트리에서 스캔하는 경우
trufflehog docker --image trufflesecurity/secrets --results=verified
# 로컬 docker 데몬에서 스캔하는 경우
trufflehog docker --image docker://new\_image:tag --results=verified
# tarball로 저장된 이미지에서 스캔하는 경우
trufflehog docker --image file://path\_to\_image.tar --results=verified
```
## 13: CI 환경에서 스캔하기
`--since-commit` 플래그를 사용자들이 병합하는 기본 브랜치(예: "main")로 설정합니다. `--branch` 플래그를 PR의 브랜치 이름(예: "feature-1")으로 설정합니다. 사용하는 CI/CD 플랫폼에 따라 이 값은 동적으로 가져올 수 있습니다 (예: [Circle CI의 CIRCLE\_BRANCH](https://circleci.com/docs/variables/) 및 [Travis CI의 TRAVIS\_PULL\_REQUEST\_BRANCH](https://docs.travis-ci.com/user/environment-variables/)). CI/CD 워크플로 중에 저장소가 복제되고 타겟 브랜치가 이미 체크아웃된 경우, `--branch HEAD`로 충분합니다. `--fail` 플래그는 유효한 자격 증명이 발견되면 183 오류 코드를 반환합니다.
```bash
trufflehog git file://. --since-commit main --branch feature-1 --results=verified,unknown --fail
```
## 14: Postman 워크스페이스 스캔하기
여러 타겟을 스캔하려면 `--workspace-id`, `--collection-id`, `--environment` 플래그를 여러 번 사용하세요.
```bash
trufflehog postman --token= --workspace-id=
```
## 15: Jenkins 서버 스캔하기
```bash
trufflehog jenkins --url https://jenkins.example.com --username admin --password admin
```
## 16: Elasticsearch 서버 스캔하기
### 로컬 클러스터 스캔하기
TruffleHog로 로컬 클러스터에 인증하는 방법에는 (1) 사용자 이름과 비밀번호, (2) 서비스 토큰의 두 가지가 있습니다.
#### 사용자 이름과 비밀번호로 로컬 클러스터에 연결하기
```bash
trufflehog elasticsearch --nodes 192.168.14.3 192.168.14.4 --username truffle --password hog
```
#### 서비스 토큰으로 로컬 클러스터에 연결하기
```bash
trufflehog elasticsearch --nodes 192.168.14.3 192.168.14.4 --service-token ‘AAEWVaWM...Rva2VuaSDZ’
```
### Elastic Cloud 클러스터 스캔하기
Elastic Cloud의 클러스터를 스캔하려면 Cloud ID와 API 키가 필요합니다.
```bash
trufflehog elasticsearch \
--cloud-id 'search-prod:dXMtY2Vx...YjM1ODNlOWFiZGRlNjI0NA==' \
--api-key 'MlVtVjBZ...ZSYlduYnF1djh3NG5FQQ=='
```
## 17. 크로스 포크 객체 참조(Cross Fork Object References) 및 삭제된 커밋에 대해 GitHub 저장소 스캔하기
다음 명령어는 GitHub 저장소에서 삭제되었거나 숨겨진 커밋을 열거한 다음 시크릿을 스캔합니다. 이는 알파 릴리스 기능입니다.
```bash
trufflehog github-experimental --repo https://github.com//.git --object-discovery
```
In

일반적인 TruffleHog 출력 외에도 `--object-discovery` 플래그는 새로운 `$HOME/.trufflehog` 디렉토리에 `valid\_hidden.txt`와 `invalid.txt` 두 개의 파일을 생성합니다. 이 파일들은 커밋 열거 과정에서 상태를 추적하는 데 사용되며, 사용자에게 모든 숨겨진 및 삭제된 커밋의 전체 목록(`valid\_hidden.txt`)을 제공합니다. 스캔 후 이러한 파일을 자동으로 제거하려면 `--delete-cached-data` 플래그를 추가하세요.

**참고**: 이 방법을 사용하여 저장소의 모든 유효한 커밋을 열거하는 데는 저장소 크기에 따라 20분에서 몇 시간이 소요됩니다. 열거에 걸리는 시간을 파악할 수 있도록 진행률 표시줄을 추가했습니다. 실제 시크릿 스캔은 매우 빠르게 실행됩니다.

Cross Fork Object References에 대한 자세한 내용은 [블로그 포스트를 읽어보세요](https://trufflesecurity.com/blog/anyone-can-access-deleted-and-private-repo-data-github).

## 18. Scan Hugging Face

### Scan a Hugging Face Model, Dataset, Space or Bucket
```bash
trufflehog huggingface \
--model  \
--dataset  \
--space  \
--bucket 
```

### Scan all Models, Datasets, Spaces and Buckets belonging to a Hugging Face Organization or User
```bash
trufflehog huggingface --org  --user 
```

(선택 사항) 조직이나 사용자를 스캔할 때 `--skip-all-models`, `--skip-all-datasets`, `--skip-all-spaces`, `--skip-all-buckets`를 사용하여 전체 리소스 클래스를 건너뛰거나, `--ignore-models `, `--ignore-datasets `, `--ignore-spaces `, `--ignore-buckets `를 사용하여 특정 리소스를 건너뛸 수 있습니다.

### Scan Discussion and PR Comments
```bash
trufflehog huggingface --model  --include-discussions --include-prs
```

## 19. Scan stdin Input
```bash
aws s3 cp s3://example/gzipped/data.gz - | gunzip -c | trufflehog stdin
```

# :question: FAQ

- 화면에 `🐷🔑🐷 TruffleHog. Unearth your secrets. 🐷🔑🐷`만 표시되고 프로그램이 종료됩니다. 어떻게 된 일인가요?
- 시크릿이 감지되지 않았음을 의미합니다.
- GitHub 조직을 스캔할 때 스캔 시간이 오래 걸리는 이유는 무엇인가요?
- 인증되지 않은 GitHub 스캔에는 속도 제한이 있습니다. 속도 제한을 개선하려면 개인 액세스 토큰과 함께 `--token` 플래그를 포함하세요.
- 프라이빗 키가 확인되었다고 나오는데, 무슨 뜻인가요?
- 확인된 결과란 TruffleHog가 서비스의 API를 통해 해당 자격 증명이 유효한지 테스트하여 확인했음을 의미합니다. 프라이빗 키의 경우, SSH 또는 SSL 인증에 해당 키를 라이브로 사용할 수 있음을 확인했습니다. 자세한 내용은 Driftwood 블로그 포스트를 확인하세요. [블로그 포스트](https://trufflesecurity.com/blog/driftwood-know-if-private-keys-are-sensitive/)
- 특정 시크릿을 쉽게 무시할 수 있는 방법이 있나요?
- 스캔된 소스가 [줄 번호를 지원하는 경우](https://github.com/trufflesecurity/trufflehog/blob/d6375ba92172fd830abb4247cca15e3176448c5d/pkg/engine/engine.go#L358-L365), 시크릿이 포함된 줄에 `trufflehog:ignore` 주석을 추가하여 해당 시크릿을 무시할 수 있습니다.

# :newspaper: What's new in v3?
TruffleHog v3는 강력한 새로운 기능들과 함께 Go로 완전히 재작성되었습니다.

- \*\*각각의 API에 대한 활성 검증을 지원하는 700개 이상의 자격 증명 탐지기가 추가되었습니다\*\*.
- 또한 \*\*GitHub, GitLab, Docker, 파일 시스템, S3, GCS, Circle CI, Travis CI 스캔에 대한 네이티브 지원\*\*이 추가되었습니다.
- [Driftwood](https://trufflesecurity.com/blog/driftwood) 기술을 사용하여 수백만 명의 GitHub 사용자 및 \*\*수십억 개\*\*의 TLS 인증서에 대해 \*\*프라이빗 키를 즉시 검증\*\*합니다.
- 바이너리, 문서 및 기타 파일 형식 스캔
- GitHub Action 및 pre-commit 훅으로 사용 가능

## What is credential verification?
감지된 모든 잠재적 자격 증명에 대해, 그것이 속한다고 생각되는 API를 대상으로 프로그래밍 방식의 검증을 공들여 구현했습니다. 검증은 오탐을 제거하고 다음 세 가지 결과 상태를 제공합니다.

- \*\*verified\*\*: API 테스트를 통해 유효하고 활성화된 상태로 확인된 자격 증명
- \*\*unverified\*\*: 감지되었으나 유효성이 확인되지 않은 자격 증명 (유효하지 않음, 만료됨, 또는 검증 비활성화 상태일 수 있음)
- \*\*unknown\*\*: 검증을 시도했으나 오류로 인해 실패한 경우 (예: 네트워크 오류 등)

네트워크 또는 API 오류
예를 들어, [AWS credential detector](pkg/detectors/aws/aws.go)는 AWS 자격 증명이 활성화되어 있는지 확인하기 위해 AWS API를 대상으로 `GetCallerIdentity` API 호출을 수행합니다.
# :memo: 사용법
TruffleHog에는 스캔하려는 각 데이터 소스에 대한 하위 명령어가 있습니다:
- git
- github
- gitlab
- huggingface
- docker
- s3
- filesystem (파일 및 디렉터리)
- syslog
- circleci
- travisci
- gcs (Google Cloud Storage)
- postman
- jenkins
- elasticsearch
- stdin
- multi-scan
각 하위 명령어에는 해당 하위 명령어에 `--help` 플래그를 전달하여 확인할 수 있는 옵션이 있습니다:
```
$ trufflehog git --help
usage: TruffleHog []  [ ...]
TruffleHog is a tool for finding credentials.
Flags:
-h, --[no-]help Show context-sensitive help (also try --help-long and --help-man).
--log-level=0 Logging verbosity on a scale of 0 (info) to 5 (trace). Can be
disabled with "-1".
--[no-]profile Enables profiling and sets a pprof and fgprof server on :18066.
-j, --[no-]json Output in JSON format.
--[no-]json-legacy Use the pre-v3.0 JSON format. Only works with git, gitlab,
and github sources.
--[no-]github-actions Output in GitHub Actions format.
--[no-]sarif Output in SARIF format for upload to GitHub code scanning (e.g.
via github/codeql-action/upload-sarif).
--concurrency=12 Number of concurrent workers.
--[no-]no-verification Don't verify the results.
--results=RESULTS Specifies which type(s) of results to output: verified (confirmed
valid by API), unknown (verification failed due to error),
unverified (detected but not verified), filtered\_unverified
(unverified but would have been filtered out). Defaults to
verified,unverified,unknown.
--[no-]no-color Disable colorized output
--[no-]allow-verification-overlap
Allow verification of similar credentials across detectors
--[no-]filter-unverified Only output first unverified result per chunk per detector if there
are more than one results.
--filter-entropy=FILTER-ENTROPY
Filter unverified results with Shannon entropy. Start with 3.0.
--config=CONFIG Path to configuration file.
--[no-]print-avg-detector-time
Print the average time spent on each detector.
--[no-]no-update Don't check for updates.
--[no-]fail Exit with code 183 if results are found.
--[no-]fail-on-scan-errors
Exit with non-zero error code if an error occurs during the scan.
--verifier=VERIFIER ... Set custom verification endpoints.
--[no-]custom-verifiers-only
Only use custom verification endpoints.
--detector-timeout=DETECTOR-TIMEOUT
Maximum time to spend scanning chunks per detector (e.g., 30s).
--archive-max-size=ARCHIVE-MAX-SIZE
Maximum size of archive to scan. (Byte units eg. 512B, 2KB, 4MB)
--archive-max-depth=ARCHIVE-MAX-DEPTH
Maximum depth of archive to scan.
--archive-timeout=ARCHIVE-TIMEOUT
Maximum time to spend extracting an archive.
--include-detectors="all" Comma separated list of detector types to include. Protobuf name or
IDs may be used, as well as ranges.
--exclude-detectors=EXCLUDE-DETECTORS
Comma separated list of detector types to exclude. Protobuf name
or IDs may be used, as well as ranges. IDs defined here take
precedence over the include list.
--[no-]no-verification-cache
Disable verification caching
--[no-]force-skip-binaries
Force skipping binaries.
--[no-]force-skip-archives
Force skipping archives.
--[no-]skip-additional-refs
Skip additional references.
--user-agent-suffix=USER-AGENT-SUFFIX
Suffix to add to User-Agent.
--[no-]version Show application version.
Commands:
help [...]
Show help.
git [] 
Find credentials in git repositories.
github []
Find credentials in GitHub repositories.
github-experimental --repo=REPO []
Run an experimental GitHub scan. Must specify at least one experimental sub-module to run:
object-discovery.
gitlab --token=TOKEN []
Find credentials in GitLab repositories.
filesystem [] [...]
Find credentials in a filesystem.
s3 []
Find credentials in S3 buckets.
gcs []
Find credentials in GCS buckets.
syslog --format=FORMAT []
Scan syslog
circleci --token=TOKEN
Scan CircleCI
d

docker []
Docker 이미지 스캔
travisci --token=TOKEN
TravisCI 스캔
postman []
Postman 스캔
elasticsearch []
Elasticsearch 스캔
jenkins --url=URL []
Jenkins 스캔
huggingface []
HuggingFace 데이터셋, 모델 및 스페이스에서 자격 증명을 찾습니다.
stdin
stdin에서 자격 증명을 찾습니다.
multi-scan
설정에 정의된 여러 소스에서 자격 증명을 찾습니다.
json-enumerator [...]
JSON 열거자(enumerator) 입력에서 자격 증명을 찾습니다.
analyze
세부적인 권한 정보를 위해 API 키를 분석합니다.
```
예를 들어, `git` 저장소를 스캔하려면 다음으로 시작하세요.
```
trufflehog git https://github.com/trufflesecurity/trufflehog.git
```
## Configuration
TruffleHog는 `--config` 플래그를 통해 제공되는 설정 파일에서 [커스텀 정규식 탐지기](#custom-regex-detector-alpha) 및 여러 소스 정의를 지원합니다.
정규식 탐지기는 모든 서브커맨드와 함께 사용할 수 있는 반면, 설정에 정의된 소스는 `multi-scan` 서브커맨드 전용입니다.
소스 설정 형식은 Truffle Security의 [소스 설정 문서 페이지](https://docs.trufflesecurity.com/scan-data-for-secrets)에서 확인할 수 있습니다.
GitHub 소스 설정 예시 및 [옵션 참조](https://docs.trufflesecurity.com/github#Fvm1I):
```yaml
sources:
- connection:
'@type': type.googleapis.com/sources.GitHub
repositories:
- https://github.com/trufflesecurity/test\_keys.git
unauthenticated: {}
name: example config scan
type: SOURCE\_TYPE\_GITHUB
verify: true
```
`sources` 키 아래에 여러 연결을 정의할 수 있으며(위 참조), TruffleHog는 모든 소스를 동시에 스캔합니다.
## S3
S3 소스는 IAM 사용자 외에도 스캔을 위해 IAM 역할 가정(assume)을 지원합니다. 이를 통해 사용자는 각 계정에 대한 하드코딩된 자격 증명에 의존하지 않고도 여러 AWS 계정을 더 쉽게 스캔할 수 있습니다.
TruffleHog가 초기 단계에서 사용하는 IAM 자격 증명은 가정할 각 IAM 역할의 [신뢰 정책(trust policy)](https://aws.amazon.com/blogs/security/how-to-use-trust-policies-with-iam-roles/)에서 주체(principal)로서 `AssumeRole` 권한을 가지고 있어야 합니다.
로컬에 설정된 자격 증명이나 EC2 인스턴스의 경우 인스턴스 메타데이터를 사용하여 특정 버킷을 스캔하려면:
```bash
trufflehog s3 --bucket=
```
가정된 역할을 사용하여 특정 버킷을 스캔하려면:
```bash
trufflehog s3 --bucket= --role-arn=
```
여러 역할을 별도의 인자로 전달할 수 있습니다. 다음 명령어는 각 역할이 S3 API에서 나열할 수 있는 권한이 있는 모든 버킷을 스캔하려고 시도합니다.
```bash
trufflehog s3 --role-arn= --role-arn=
```
종료 코드(Exit Codes):
- 0: 오류가 없으며 결과가 발견되지 않았습니다.
- 1: 오류가 발생했습니다. 소스 스캔이 완료되지 않았을 수 있습니다.
- 183: 오류는 없지만 결과가 발견되었습니다. `--fail` 플래그가 사용된 경우에만 반환됩니다.
## :octocat: TruffleHog Github Action
### 일반 사용법
```
on:
push:
branches:
- main
pull\_request:
jobs:
test:
runs-on: ubuntu-latest
steps:
- name: Checkout code
uses: actions/checkout@v4
with:
fetch-depth: 0
- name: Secret Scanning
uses: trufflesecurity/trufflehog@main
with:
extra\_args: --results=verified,unknown
```
위의 설정 예시에서는 `main`에 대한 모든 PR 및 Push에서 라이브 시크릿을 스캔합니다. 참조된 커밋의 코드 변경 사항만 스캔됩니다. 전체 브랜치를 스캔하려면 아래의 "고급 사용법(Advanced Usage)" 섹션을 참조하세요.
### 얕은 복제 (Shallow Cloning)
TruffleHog를 독립 실행형 워크플로에 통합하고 TruffleHog와 함께 다른 CI/CD 도구를 실행하지 않는 경우, 워크플로 속도를 높이기 위해 [얕은 복제(Shallow Cloning)](https://git-scm.com/docs/git-clone#Documentation/git-clone.txt---depthltdepthgt) 사용을 권장합니다. 방법은 다음과 같습니다.
```
...
- shell: bash
run: |
if [ "${{ github.event\_name }}" == "push" ]; then
echo "depth=$(($(jq length <<< '${{ toJson(github.event.commits) }}') + 2))" >> $GITHUB\_ENV
echo "branch=${{ github.ref\_name }}" >> $GITHUB\_ENV
fi
if [ "${{ github.event\_name }}" == "pull\_request" ]; then
echo "depth=$((${{ github.event.pull\_request.commits }}+2))" >> $GITHUB\_ENV
echo "branch=${{ github.event.pull\_request.head.

ref }}" >> $GITHUB\_ENV
fi
- uses: actions/checkout@v3
with:
ref: ${{env.branch}}
fetch-depth: ${{env.depth}}
- uses: trufflesecurity/trufflehog@main
with:
extra\_args: --results=verified,unknown
...
```
이벤트 유형(push 또는 PR)에 따라 현재 존재하는 커밋 수를 계산합니다. 그런 다음 2를 더하여 코드 변경 전의 베이스 커밋을 참조할 수 있도록 합니다. 관련 브랜치와 함께 해당 정수 값을 checkout 액션의 `fetch-depth` 플래그에 전달합니다. 이제 체크아웃 프로세스가 훨씬 더 빨라질 것입니다.

### 카나리 감지
TruffleHog는 [https://canarytokens.org/](https://canarytokens.org/)를 정적으로 감지합니다.
![image](https://github.com/trufflesecurity/trufflehog/assets/52866392/74ace530-08c5-4eaf-a169-84a73e328f6f)

### 고급 사용법
```yaml
- name: TruffleHog
uses: trufflesecurity/trufflehog@main
with:
# Repository path
path:
# Start scanning from here (usually main branch).
base:
# Scan commits until here (usually dev branch).
head: # optional
# Extra args to be passed to the trufflehog cli.
extra\_args: --log-level=2 --results=verified,unknown
# Scan with a specific TruffleHog version (default: latest).
version:
# Docker image to pull. Override to use a registry mirror (default: ghcr.io/trufflesecurity/trufflehog).
image:
```

특정 `base` 및 `head` ref를 지정하려면 `base` 인자(TruffleHog CLI의 `--since-commit` 플래그)와 `head` 인자(TruffleHog CLI의 `--branch` 플래그)를 사용할 수 있습니다. 기본 동작이 작동하지 않는 매우 특정한 사용 사례에만 이러한 인자를 사용하는 것을 권장합니다.

결과를 GitHub 코드 스캐닝에 대신 업로드하려면, trufflehog를 `--sarif`와 함께 직접 실행하고 그 출력을 `github/codeql-action/upload-sarif`에 전달하세요.
```yaml
- name: TruffleHog
run: trufflehog filesystem . --sarif --no-verification > results.sarif
- name: Upload SARIF results
uses: github/codeql-action/upload-sarif@v3
with:
sarif\_file: results.sarif
```

#### 고급 사용법: 전체 브랜치 스캔
```
- name: scan-push
uses: trufflesecurity/trufflehog@main
with:
base: ""
head: ${{ github.ref\_name }}
extra\_args: --results=verified,unknown
```

## TruffleHog GitLab CI

### 사용 예시
```yaml
stages:
- security
security-secrets:
stage: security
allow\_failure: false
image: alpine:latest
variables:
SCAN\_PATH: "." # Set the relative path in the repo to scan
before\_script:
- apk add --no-cache git curl jq
- curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin
script:
- trufflehog filesystem "$SCAN\_PATH" --results=verified,unknown --fail --json | jq
rules:
- if: '$CI\_PIPELINE\_SOURCE == "merge\_request\_event"'
```

위의 파이프라인 예시에서는 모든 저장소 디렉터리와 파일에서 라이브 시크릿을 스캔하고 있습니다. 이 작업은 파이프라인 소스가 merge request 이벤트인 경우에만 실행되며, 이는 새로운 병합 요청이 생성될 때 트리거된다는 의미입니다.

## Pre-commit Hook
TruffleHog를 pre-commit 훅에서 사용하여 자격 증명이 컴퓨터를 떠나기 전에 유출되는 것을 방지할 수 있습니다.
자세한 내용은 [pre-commit hook 문서](PreCommit.md)를 참조하세요.

## 커스텀 정규식 검출기 (알파)
TruffleHog는 커스텀 정규식의 감지 및 검증을 지원합니다.
감지를 위해서는 최소 하나 이상의 **정규표현식(regular expression)**과 **키워드(keyword)**가 필요합니다.
**키워드**는 감지할 정규식 내부나 주변에 나타나는 고정된 리터럴 문자열 식별자입니다. 검증의 유연성을 극대화하기 위해, 정규식 매치 결과가 포함된 웹훅이 사용됩니다.
TruffleHog는 정규식 매치 결과가 포함된 JSON POST 요청을 구성된 웹훅 엔드포인트로 전송합니다. 엔드포인트가 `200 OK` 응답 상태 코드로 응답하면 시크릿이 검증된 것으로 간주됩니다. 네트워크/API 오류로 인해 검증에 실패하면 결과는 알 수 없음(unknown)으로 표시됩니다.
커스텀 검출기는 엔트로피, 전체 매치를 타겟으로 하는 정규식, 캡처된 시크릿을 타겟으로 하는 정규식, 그리고 다음을 대상으로 확인되는 제외 단어 목록과 같은 몇 가지 필터링 메커니즘을 지원합니다.

시크릿(캡처 그룹이 있는 경우 캡처된 그룹, 캡처 그룹이 없는 경우 전체 일치 항목)을 치환합니다. 사용자 정의 탐지기에 여러 개의 `regex`(이 예에서는 `hogID` 및 `hogToken`)가 설정된 경우, 필터가 각 정규 표현식에 적용된다는 점에 유의하세요. 이러한 필터를 사용하는 사용자 정의 탐지기의 예시는 [여기](examples/generic\_with\_filters.yml)에서 확인할 수 있습니다.

**참고:** 이 기능은 알파 버전이며 향후 변경될 수 있습니다.

### Regex 탐지기 예시

검증 서버를 사용하여 사용자 정의 정규 표현식 탐지기를 설정하는 방법은 [여기](/pkg/custom\_detectors/CUSTOM\_DETECTORS.md)에서 확인할 수 있습니다.

## 일반 JWT 탐지

TruffleHog는 발견한 일반 JWT의 하위 집합에 대한 탐지 및 검증을 지원합니다.
구체적으로, JWT가 HMAC 대신 공개키 암호화를 사용하고 공개키를 얻을 수 있는 경우, TruffleHog는 해당 JWT가 활성 상태인지 여부를 확인할 수 있습니다.

## :mag: 분석 (Analyze)

TruffleHog는 자격 증명에 대한 더 깊은 분석을 실행하여 권한과 액세스할 수 있는 리소스를 확인할 수 있는 기능을 지원합니다.

```bash
trufflehog analyze
```

# :heart: 기여자 (Contributors)

이 프로젝트는 기여해주신 모든 분들의 덕분에 존재합니다. [[기여하기](CONTRIBUTING.md)].

[![](https://contrib.rocks/image?repo=trufflesecurity/trufflehog)](https://github.com/trufflesecurity/trufflehog/graphs/contributors)

# :computer: 기여하기 (Contributing)

기여는 언제나 환영합니다! 먼저 [기여 가이드라인](CONTRIBUTING.md)을 확인해 주세요.

더 이상 TruffleHog v2에 대한 기여는 받지 않지만, 해당 코드는 `v2` 브랜치에서 확인할 수 있습니다.

## 새로운 시크릿 탐지기 추가하기

새로운 시크릿 탐지기 추가를 시작하는 데 도움이 되는 [문서와 도구](hack/docs/Adding\_Detectors\_external.md)를 공개했습니다. 함께 탐지 기능을 개선해 봅시다!

# 라이브러리로 사용하기

현재 trufflehog는 활발히 개발 중이며, 현시점에서 public API의 안정성은 보장할 수 없습니다.

# 라이선스 변경

v3.0부터 TruffleHog는 AGPL 3 라이선스로 배포되며, [`LICENSE`](LICENSE)에 포함되어 있습니다. TruffleHog v3.0은 이전 코드베이스를 전혀 사용하지 않지만, 명령줄 인터페이스(CLI)의 하위 호환성을 유지하기 위해 주의를 기울였습니다. 이 릴리스 이전의 작업물은 이 저장소의 기록과 이전 패키지 릴리스 및 태그에서 여전히 GPL 2.0 라이선스로 이용할 수 있습니다. 향후 기여를 수락하려면 작성된 CLA가 필요합니다.

trufflehog

Explore Similar Repositories

Was this content helpful?

Recent Feedback

Download README