git-dumper
Si /.git/HEAD responde, el servidor está sirviendo el repositorio. git-dumper lo reconstruye aunque el listado de directorios esté desactivado; luego revisa todos los commits, porque las credenciales borradas siguen en el historial.
- Plataforma
- Linux · Windows · macOS (Python)
- Web oficial
- github.com/arthaud/git-dumper
- En HTB
- 7 máquinas
Instalación
pipx install git-dumper- T1213.003 Repositorios de código
- T1552.001 Credenciales en ficheros
- Repositorio .git expuesto
- Historial de git
Chuleta de git-dumper
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Del .git al secreto
¿Está expuesto?
curl -s http://box.htb/.git/HEAD
Recuperar los ficheros borrados del directorio de trabajo
cd repo && git checkout -- .
Buscar secretos en todo el historial
git log -p --all | grep -iE 'pass|secret|token|key'
Ver qué cambió en el último commit
git show --stat HEAD && git diff HEAD~1En nuestras chuletas
Enumeración web › Hallazgos típicos
Descargar un .git expuesto
git-dumper http://box.htb/.git/ repoNingún comando coincide.
Máquinas de HTB donde se usa git-dumper
Sacadas de los capítulos de los vídeos de IppSec en los que aparece git-dumper. El enlace ▶ salta al minuto de esa parte.
- Fuerza bruta de directorios
- Fuzzing de vhosts y subdominios
- Repositorio .git expuesto
- Cross-Site Scripting (XSS)
- CSRF
- Explotación de CVE público
- Server-Side Template Injection
- Escape de contenedores
- Credenciales en ficheros
- Servicios internos y port forwarding
- Cracking de hashes
- Backups y archivos comprimidos
- Abuso de sudo
Guías que usan git-dumper
- Directorio .git expuesto: git-dumper y secretos en el historial 3 min de lectura Cómo detectar un .git expuesto en una web, reconstruir el repositorio con git-dumper y encontrar contraseñas y claves en el historial de commits.
- Fuzzing web: directorios, extensiones, subdominios y vhosts con ffuf, gobuster y feroxbuster 3 min de lectura Descubrir rutas ocultas, copias de seguridad, vhosts y repositorios .git expuestos con ffuf y gobuster: qué diccionario usar y cómo filtrar falsos positivos.