【GitHub・コードリポジトリ偵察編】コミットに眠るシークレットを掘る｜CTF思考フレームワーク R07

こんにちは、アンペンです！偵察ルートR07はGitHub偵察編。公開リポジトリのコミット履歴に眠るAPIキー・パスワード・内部URLを掘り出す技を扱います。ここはシャドーIT(R06)の宝庫で、「消したつもりのコミット」も履歴に残るのが最大のポイントです。

GitHubは、世界中の開発者がコードを公開し合う便利な場所。でもその“公開”の裏で、本来は隠すべき秘密——APIキーやパスワード——が、毎日のように意図せず流出しています。しかも怖いのは、それが高度なハッキングの結果ではなく、開発者の“ついうっかり”で起きること。今日は、その“うっかり”がどう漏れ、なぜ消しても消えないのか、そしてどう防ぐのかを見ていきましょう。

パスワードをコミットしても、次のコミットで消せば大丈夫でしょ？

それが一番危ない誤解。gitは全履歴を保持するから、git logを遡れば消したはずの秘密が丸ごと復活するんだ。だから漏れたら『削除』じゃなく『鍵の無効化(ローテーション)』が正解だよ。

公開リポジトリに漏れるもの

ソースコードは「動かすための情報」を含むため、開発者がうっかり認証情報を混入させがちです。代表的な漏えい物を並べます。

• クラウドのAPIキー:AWS(AKIA...)・GCP・Azureの鍵。課金乗っ取りや内部侵入の起点
• SaaSトークン:Slack・Stripe・GitHub PAT・SendGrid等。連携先を芋づる式に侵害
• DB接続文字列:postgres://user:pass@host/db がそのまま直書き
• 秘密鍵:-----BEGIN RSA PRIVATE KEY-----、.pem、SSH鍵
• 内部情報:社内ホスト名・管理画面URL・テスト用アカウント・コメントに残る注意書き

なぜコードに秘密が紛れ込むのか。理由はシンプルで、プログラムを“動かす”には、これらの情報が要るからです。クラウドに繋ぐにはAPIキー、DBに繋ぐにはパスワード——手元では確かに必要。問題は、それを“コードに直接書いたまま”公開リポジトリに上げてしまうこと。本人は『あとで消せばいい』と思いがちですが、その油断こそが、次に説明する最大の落とし穴につながります。

なぜ「消したコミット」が残るのか

gitは「スナップショットの連鎖」で、過去のコミットを丸ごと保持します。.envを一度コミットして次のコミットで削除しても、削除という変更が新たに記録されるだけで、過去の中身は履歴に残ったまま。git log -pやgit show 過去ハッシュで誰でも復元できます。さらに、その時点でフォークされたりクローンされていれば、あなたが履歴を消しても他人の手元のコピーには残り続けます。

ここ、知らない人が聞くと一番ギョッとするところです。『コミットして、次のコミットで消したから大丈夫』——これは完全な誤解。gitは“変更の履歴を全部とっておく”仕組みなので、消したつもりの秘密は、過去のページとしてそっくり残っています。git logを遡れば誰でも読める。さらに、誰かがその時点でコピー（フォーク）していたら、あなたが履歴を消しても、相手の手元には永遠に残る。だから『消す』は、解決にならないんです。

探索ツールの使い分け

• GitHubコード検索(GitHub Dork):org:会社名 "password"filename:.envextension:pemでブラウザから露出確認
• trufflehog:エントロピー＋正規表現で履歴を全走査。削除済みコミットも検出し、キーの有効性まで検証
• gitleaks:正規表現ベースで高速。CIに組み込みやすく、pre-commitにも使える
• 監視範囲を広げる:GitLab・Bitbucket・Gist・公開Dockerイメージ・npm・CI/CDログも漏えい源

GitHub Dorkは、いわば“社内検索を外部から叩く”ようなもの。org:会社名 "password" のように会社名と危ないキーワードを組み合わせれば、その組織のリポジトリから怪しい箇所を一気に拾えます。trufflehogやgitleaksは、それをさらに自動化して“過去の全履歴”まで掘ってくれる道具。攻撃者はこれを使って待ち構えているので、守る側は『同じ検索を、先に自分でやる』のが鉄則になります。

CTFでやってみよう:自分のリポジトリを走査

では守り方。結論を先に言うと、いちばん強いのは『最初から書かない』です。漏れてから消す・無効化するのは、あくまで火事になってからの消火。それより、そもそも燃えるものを置かない——秘密はコードと分け、環境変数や金庫（Secrets Manager）から読む。次のリストは、その“入口で止める”を軸に並べています。

守る側:書かない・止める・無効化する

「最初から書かない」が一番強い対策なんだね。

そう、入口で止めるのが最強。次はR08、メタデータ・人物偵察。画像のExifや文書のプロパティ、SNSから人物像を立ち上げるOSINTの作法を扱うよ。

まとめ:『履歴は消えない』前提で守る

今日の持ち帰りは『git履歴は消えない、だから“漏れた鍵は死んだ鍵”』。一度ネットに出た認証情報は、削除しても出回った前提で、すぐ無効化する。そして何より、攻撃者と同じツールで自分のリポジトリを一度走査してみること。『3年前に消したはずのキーが、まだ生きていた』——そんな発見が、被害を未然に防ぎます。

次はR08、メタデータ・人物偵察編。コードの次は「ファイルと人」に残る痕跡を読み解きます。

次に読みたい記事

参考資料