Github est un service formidable où les gens stockent leurs codes sources et leurs projets… Mais c’est aussi une mine d’or de fichiers en tout genre. Certains utilisateurs de Github font d’ailleurs preuve de négligence et synchronisent même parfois des fichiers contenant des mots de passe en clair ou des infos plus ou moins confidentielles.
Pour effectuer ce genre de recherches sur Github, il existe un petit script python qui permet tout simplement de récupérer sur votre ordinateur, les fichiers qui vous intéressent.
Par exemple, en tapant :
./ghrabber.py « path:.bash_history »
vous récupérerez tous les historiques bash qui trainent.
./ghrabber.py « path:.htpasswd »
vous récupérerez tous les htpasswd qui trainent
./ghrabber.py « ext:mbox »
vous récupérez des boites mails qui trainent
./ghrabber.py « path:databases.yml »
et des logins/passwords de connexions à des bases de données.
Je ne passe pas tout en revue. Vous pouvez faire des recherches par nom de fichier ou par extension… votre imagination fera le reste. Ça me rappelle un peu les Google Dorks.
Pour installer ghrabber, il faut faire un petit :
sudo easy_install pip
sudo pip install beautifulsoup requests
Puis téléchargez ghrabber ici.
Conclusion : Si vous utilisez Github, faites gaffe à ce que vous y uploadez.