Git-Hound 泄露密钥扫描

公开 GitHub 上的密钥泄露，靠默认扫描不够

把 API key、云凭证或数据库口令误提交进公开仓库，是安全事件里最常见的起因之一。GitHub 自带的 secret scanning 只能覆盖自己仓库和受支持的服务商，一旦密钥出现在别人的公开仓库、fork、 gist 或历史分支里，被动等告警往往会错过窗口期。这个技能面向的是主动式侦察场景：用 git-hound 在公开 GitHub 上按自定义的 dork 查询做宽幅搜索，先发现暴露面，再人工分类处置。

技能如何工作

核心流程可以拆成三步：

• 准备运行环境：准备 git-hound 二进制或 Docker 镜像，配置 GitHub token 或代码搜索访问权限，并按目标梳理 operator 自定义的 dork 查询。
• 批量发起检索：以容器方式运行 git-hound，加载 config.yaml 与子域/关键词输入文件，对公开 GitHub 做广度搜索，覆盖仓库、代码片段和历史提交中的潜在密钥。
• 处置与修复：对命中的结果做研判，区分真实凭证、占位符和误报，再决定吊销、轮换或提交下架请求，形成从 recon 到 remediation 的闭环。

这个技能强调的正是 recon 和 triage 环节，而不是替代平台级 secret scanning。

适用边界与注意点

• 检索范围限定在公开可访问的 GitHub 内容，企业内部私有仓库不在此技能覆盖范围内。
• 搜索效果高度依赖 operator 定义的 dork 质量，查询太窄会漏报，太宽会引入大量噪声。
• 命中结果存在天然误报率，需要结合上下文判断是否为真实凭证，切勿把占位符或测试样例当成事故。
• 运行前需确认目标平台允许的代码搜索频率与权限，避免触发限流；扫描后应及时清理 token 等敏感输入，防止二次泄露。