Zugängliche Gelöschte Daten in Github

Tip

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Lerne & übe Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstütze HackTricks

Diese Möglichkeiten, auf Daten von Github zuzugreifen, die angeblich gelöscht wurden, wurden in diesem Blogbeitrag berichtet.

Zugriff auf Gelöschte Fork-Daten

  1. Sie forken ein öffentliches Repository.
  2. Sie committen Code in Ihren Fork.
  3. Sie löschen Ihren Fork.

Caution

Die in dem gelöschten Fork committen Daten sind weiterhin zugänglich.

Zugriff auf Gelöschte Repo-Daten

  1. Sie haben ein öffentliches Repo auf GitHub.
  2. Ein Benutzer forkt Ihr Repo.
  3. Sie committen Daten, nachdem sie es geforkt haben (und sie synchronisieren ihren Fork nie mit Ihren Updates).
  4. Sie löschen das gesamte Repo.

Caution

Selbst wenn Sie Ihr Repo gelöscht haben, sind alle Änderungen, die daran vorgenommen wurden, weiterhin über die Forks zugänglich.

Zugriff auf Private Repo-Daten

  1. Sie erstellen ein privates Repo, das schließlich öffentlich gemacht wird.
  2. Sie erstellen eine private, interne Version dieses Repos (durch Forking) und committen zusätzlichen Code für Funktionen, die Sie nicht öffentlich machen möchten.
  3. Sie machen Ihr „Upstream“-Repository öffentlich und halten Ihren Fork privat.

Caution

Es ist möglich, auf alle Daten zuzugreifen, die in den internen Fork gepusht wurden, in der Zeit zwischen der Erstellung des internen Forks und der Veröffentlichung der öffentlichen Version.

So entdecken Sie Commits von gelöschten/verborgenen Forks

Der gleiche Blogbeitrag schlägt 2 Optionen vor:

Direkt auf den Commit zugreifen

Wenn der Commit-ID (sha-1) Wert bekannt ist, ist es möglich, ihn unter https://github.com/<user/org>/<repo>/commit/<commit_hash> zuzugreifen.

Brute-Forcing kurzer SHA-1-Werte

Es ist dasselbe, um auf beide zuzugreifen:

Und der letzte verwendet einen kurzen sha-1, der bruteforcebar ist.

Referenzen

Tip

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Lerne & übe Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstütze HackTricks