vamp-secrets-scanner 2.2__tar.gz → 2.4__tar.gz

{vamp_secrets_scanner-2.2/vamp_secrets_scanner.egg-info → vamp_secrets_scanner-2.4}/PKG-INFO

@@ -1,7 +1,7 @@
 Metadata-Version: 2.4
 Name: vamp-secrets-scanner
-Version: 2.2
-Summary: Static secrets and credentials scanner with git history analysis, Shannon entropy detection and SARIF 2.1.0 output
+Version: 2.4
+Summary: Static secrets and credentials scanner with git history analysis, Shannon entropy detection, SARIF 2.1.0 output, Docker runtime scanning and Kubernetes Secrets scanning
 Author-email: VampSecure Studios <contact@vampsecurestudios.com>
 License: MIT
 Project-URL: Homepage, https://github.com/Vampsecure-Labs/vamp-secrets-scanner
@@ -26,6 +26,7 @@ License-File: LICENSE
 Requires-Dist: rich>=13.7.0
 Dynamic: license-file
 
+<!-- © VampSecure Studios — VampSecure Labs Security Research Division -->
 <h1 align="center">vamp-secrets-scanner</h1>
 <p align="center">
   <strong>Static secrets and credential scanner with Git history analysis and SARIF export</strong><br>
@@ -77,6 +78,13 @@ Standard library only beyond `rich`: `re`, `os`, `math`, `pathlib`, `hashlib`, `
 
 ## Installation
 
+
+```bash
+pip install vamp-secrets-scanner
+# o con Homebrew:
+brew install vampsecure-labs/labs/vamp-secrets-scanner
+```
+
 ```bash
 git clone https://github.com/belky-me/vamp-secrets-scanner.git
 cd vamp-secrets-scanner
@@ -177,3 +185,8 @@ This tool is part of the **VampSecure Labs Security Toolkit** — a collection o
 
 © VampSecure Studios — VampSecure Labs Security Research Division  
 For authorized security testing only.
+
+---
+
+## Versión
+v2.2 — VampSecure Labs Security Research Division

{vamp_secrets_scanner-2.2 → vamp_secrets_scanner-2.4}/README.md

@@ -1,3 +1,4 @@
+<!-- © VampSecure Studios — VampSecure Labs Security Research Division -->
 <h1 align="center">vamp-secrets-scanner</h1>
 <p align="center">
   <strong>Static secrets and credential scanner with Git history analysis and SARIF export</strong><br>
@@ -49,6 +50,13 @@ Standard library only beyond `rich`: `re`, `os`, `math`, `pathlib`, `hashlib`, `
 
 ## Installation
 
+
+```bash
+pip install vamp-secrets-scanner
+# o con Homebrew:
+brew install vampsecure-labs/labs/vamp-secrets-scanner
+```
+
 ```bash
 git clone https://github.com/belky-me/vamp-secrets-scanner.git
 cd vamp-secrets-scanner
@@ -149,3 +157,8 @@ This tool is part of the **VampSecure Labs Security Toolkit** — a collection o
 
 © VampSecure Studios — VampSecure Labs Security Research Division  
 For authorized security testing only.
+
+---
+
+## Versión
+v2.2 — VampSecure Labs Security Research Division

{vamp_secrets_scanner-2.2 → vamp_secrets_scanner-2.4}/pyproject.toml

@@ -4,8 +4,8 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "vamp-secrets-scanner"
-version = "2.2"
-description = "Static secrets and credentials scanner with git history analysis, Shannon entropy detection and SARIF 2.1.0 output"
+version = "2.4"
+description = "Static secrets and credentials scanner with git history analysis, Shannon entropy detection, SARIF 2.1.0 output, Docker runtime scanning and Kubernetes Secrets scanning"
 readme = "README.md"
 license = { text = "MIT" }
 requires-python = ">=3.10"

{vamp_secrets_scanner-2.2 → vamp_secrets_scanner-2.4/vamp_secrets_scanner.egg-info}/PKG-INFO

@@ -1,7 +1,7 @@
 Metadata-Version: 2.4
 Name: vamp-secrets-scanner
-Version: 2.2
-Summary: Static secrets and credentials scanner with git history analysis, Shannon entropy detection and SARIF 2.1.0 output
+Version: 2.4
+Summary: Static secrets and credentials scanner with git history analysis, Shannon entropy detection, SARIF 2.1.0 output, Docker runtime scanning and Kubernetes Secrets scanning
 Author-email: VampSecure Studios <contact@vampsecurestudios.com>
 License: MIT
 Project-URL: Homepage, https://github.com/Vampsecure-Labs/vamp-secrets-scanner
@@ -26,6 +26,7 @@ License-File: LICENSE
 Requires-Dist: rich>=13.7.0
 Dynamic: license-file
 
+<!-- © VampSecure Studios — VampSecure Labs Security Research Division -->
 <h1 align="center">vamp-secrets-scanner</h1>
 <p align="center">
   <strong>Static secrets and credential scanner with Git history analysis and SARIF export</strong><br>
@@ -77,6 +78,13 @@ Standard library only beyond `rich`: `re`, `os`, `math`, `pathlib`, `hashlib`, `
 
 ## Installation
 
+
+```bash
+pip install vamp-secrets-scanner
+# o con Homebrew:
+brew install vampsecure-labs/labs/vamp-secrets-scanner
+```
+
 ```bash
 git clone https://github.com/belky-me/vamp-secrets-scanner.git
 cd vamp-secrets-scanner
@@ -177,3 +185,8 @@ This tool is part of the **VampSecure Labs Security Toolkit** — a collection o
 
 © VampSecure Studios — VampSecure Labs Security Research Division  
 For authorized security testing only.
+
+---
+
+## Versión
+v2.2 — VampSecure Labs Security Research Division

{vamp_secrets_scanner-2.2 → vamp_secrets_scanner-2.4}/vamp_secrets_scanner.py

@@ -1,4 +1,5 @@
 #!/usr/bin/env python3
+# © VampSecure Studios — VampSecure Labs Security Research Division
 """
 vamp_secrets_scanner.py — Escáner Estático de Secretos y Credenciales
 ======================================================================
@@ -85,6 +86,7 @@ AUTORÍA
 from __future__ import annotations
 
 import argparse
+import base64
 import hashlib
 import json
 import math
@@ -109,7 +111,7 @@ from rich.text import Text
 # Constantes
 # ─────────────────────────────────────────────────────────────────────────────
 
-VERSION   = "2.2"
+VERSION   = "2.4"
 TOOL_NAME = "vamp-secrets-scanner"
 
 BANNER = r"""
@@ -118,7 +120,7 @@ __   ___   __  __ ___  ___ ___ ___ _   _ ___ ___ _      _   ___ ___
  \ V / _ \| |\/| |  _/\__ \ _| (__| |_| |   / _|| |__ / _ \| _ \__ \
   \_/_/ \_\_|  |_|_|  |___/___\___|\___/|_|_\___|____/_/ \_\___/___/
   by Antonio Hernandez "Belky" — VampSecure Studios
-  vamp-secrets-scanner v2.2 · Static Secrets & Git History Scanner
+  vamp-secrets-scanner v2.4 · Static Secrets & Git History Scanner
   ────────────────────────────────────────────────────────────────────────
   USO EXCLUSIVO EN AUDITORÍAS AUTORIZADAS · El uso no autorizado es ilegal
 """
@@ -1491,6 +1493,335 @@ function toggle(row){{
     console.print(f"[dim]  HTML → {path}[/]")
 
 
+# ─────────────────────────────────────────────────────────────────────────────
+# Escaneo de contenedores Docker en runtime  (v2.3)
+# ─────────────────────────────────────────────────────────────────────────────
+
+def _docker_disponible() -> bool:
+    """
+    Comprueba si el binario docker está disponible en el PATH.
+    Retorna True si está disponible, False en caso contrario.
+    """
+    import shutil as _shutil
+    return _shutil.which("docker") is not None
+
+
+def _obtener_envs_contenedor(container_id: str) -> Optional[List[str]]:
+    """
+    Obtiene las variables de entorno de un contenedor Docker.
+
+    Intenta primero con 'docker inspect' para leer la configuración estática;
+    si no devuelve variables, recurre a 'docker exec env' como alternativa.
+
+    Parámetros
+    ----------
+    container_id : nombre o ID del contenedor en ejecución
+
+    Retorna lista de strings con formato 'CLAVE=valor', o None si falla.
+    """
+    envs: List[str] = []
+
+    # Método 1: docker inspect (más rápido, no requiere shell en el contenedor)
+    try:
+        result = subprocess.run(
+            ["docker", "inspect", "--format", "{{range .Config.Env}}{{println .}}{{end}}", container_id],
+            capture_output=True,
+            text=True,
+            timeout=10,
+        )
+        if result.returncode == 0 and result.stdout.strip():
+            envs = [l for l in result.stdout.splitlines() if l.strip() and "=" in l]
+    except (subprocess.TimeoutExpired, FileNotFoundError, OSError):
+        pass
+
+    # Método 2: docker exec env (alternativa si inspect no devolvió variables)
+    if not envs:
+        try:
+            result = subprocess.run(
+                ["docker", "exec", container_id, "env"],
+                capture_output=True,
+                text=True,
+                timeout=10,
+            )
+            if result.returncode == 0 and result.stdout.strip():
+                envs = [l for l in result.stdout.splitlines() if l.strip() and "=" in l]
+        except (subprocess.TimeoutExpired, FileNotFoundError, OSError):
+            pass
+
+    return envs if envs else None
+
+
+def scan_docker_container(container_id: str) -> List[Finding]:
+    """
+    Escanea las variables de entorno de un contenedor Docker en ejecución.
+
+    Aplica los mismos 77 patrones de SECRET_PATTERNS del scanner estático
+    a cada variable de entorno del contenedor. Los hallazgos se marcan
+    como categoría 'Docker · Runtime Env' con severidad CRITICAL.
+
+    Parámetros
+    ----------
+    container_id : nombre o ID del contenedor Docker a escanear
+
+    Retorna lista de Finding con los secretos encontrados en las envs del contenedor.
+    """
+    if not _docker_disponible():
+        console.print("[yellow]  Aviso: 'docker' no encontrado en PATH — omitiendo escaneo de contenedor[/]")
+        return []
+
+    console.print(f"[cyan]  Escaneando contenedor Docker: {container_id}[/]")
+
+    envs = _obtener_envs_contenedor(container_id)
+    if envs is None:
+        console.print(f"[yellow]  Aviso: no se pudieron obtener variables de entorno del contenedor '{container_id}'[/]")
+        return []
+
+    hallazgos: List[Finding] = []
+
+    for linea in envs:
+        if not linea.strip() or "=" not in linea:
+            continue
+
+        # Escanear la línea de variable de entorno con los patrones habituales
+        for pat in SECRET_PATTERNS:
+            match = pat["compiled"].search(linea)
+            if not match:
+                continue
+
+            valor_raw  = match.group(0)
+            extracto   = _censor(valor_raw)
+            fp         = _fingerprint(valor_raw, "DOCKER_ENV_SECRET")
+
+            # Nombre de la variable de entorno (parte antes del '=')
+            nombre_var = linea.split("=", 1)[0]
+
+            hallazgos.append(Finding(
+                file        = f"docker://{container_id}",
+                line_no     = 0,
+                pattern     = f"DOCKER_ENV_SECRET: {pat['name']}",
+                category    = "Docker · Runtime Env",
+                severity    = Severity.CRITICAL,
+                preview     = extracto,
+                context     = [
+                    f"  Contenedor: {container_id}",
+                    f"  Variable:   {nombre_var}",
+                    f"  Patrón:     {pat['name']}",
+                    f"  Extracto:   {extracto}",
+                ],
+                fingerprint = fp,
+            ))
+
+    if hallazgos:
+        console.print(
+            f"  [bold red]⚠ {len(hallazgos)} secreto(s) encontrado(s) en "
+            f"variables de entorno de '{container_id}'[/]"
+        )
+    else:
+        console.print(f"  [green]✔ Sin secretos detectados en las envs de '{container_id}'[/]")
+
+    return hallazgos
+
+
+def scan_all_docker_containers() -> List[Finding]:
+    """
+    Escanea los contenedores Docker actualmente en ejecución.
+
+    Ejecuta 'docker ps -q' para obtener los IDs de todos los contenedores
+    activos y aplica scan_docker_container() a cada uno.
+
+    Retorna la lista combinada de hallazgos de todos los contenedores.
+    """
+    if not _docker_disponible():
+        console.print("[yellow]  Aviso: 'docker' no encontrado en PATH — omitiendo escaneo de contenedores[/]")
+        return []
+
+    # Obtener lista de IDs de contenedores en ejecución
+    try:
+        result = subprocess.run(
+            ["docker", "ps", "-q"],
+            capture_output=True,
+            text=True,
+            timeout=10,
+        )
+        ids = [i.strip() for i in result.stdout.splitlines() if i.strip()]
+    except (subprocess.TimeoutExpired, FileNotFoundError, OSError) as exc:
+        console.print(f"[red]  Error ejecutando 'docker ps': {exc}[/]")
+        return []
+
+    if not ids:
+        console.print("[yellow]  No hay contenedores Docker en ejecución.[/]")
+        return []
+
+    console.print(f"[cyan]  Escaneando {len(ids)} contenedor(es) Docker en ejecución...[/]")
+    todos_hallazgos: List[Finding] = []
+
+    for cid in ids:
+        todos_hallazgos.extend(scan_docker_container(cid))
+
+    return todos_hallazgos
+
+
+def _scan_string_for_secrets(texto: str) -> List[Dict]:
+    """
+    Aplica todos los SECRET_PATTERNS a una cadena de texto y devuelve
+    una lista de coincidencias brutas (sin crear objetos Finding).
+
+    Cada elemento del resultado es un dict con las claves:
+      - 'name':     nombre del patrón coincidente
+      - 'severity': nivel de severidad del patrón
+      - 'category': categoría del patrón
+      - 'valor':    fragmento de texto que coincidió (sin censurar)
+
+    Útil como auxiliar en funciones de escaneo de entornos externos
+    (Docker runtime, Kubernetes Secrets, etc.) donde el contexto
+    de creación del Finding difiere del flujo estático habitual.
+    """
+    coincidencias: List[Dict] = []
+    for pat in SECRET_PATTERNS:
+        match = pat["compiled"].search(texto)
+        if match:
+            coincidencias.append({
+                "name":     pat["name"],
+                "severity": pat["severity"],
+                "category": pat.get("category", "Secret"),
+                "valor":    match.group(0),
+            })
+    return coincidencias
+
+
+def _kubectl_disponible() -> bool:
+    """Comprueba si el binario 'kubectl' está disponible en el PATH."""
+    try:
+        subprocess.run(
+            ["kubectl", "version", "--client", "--output=json"],
+            capture_output=True,
+            timeout=5,
+        )
+        return True
+    except (FileNotFoundError, OSError):
+        return False
+
+
+def scan_kubernetes_secrets(namespace: Optional[str] = None) -> List[Finding]:
+    """
+    Escanea los Kubernetes Secrets del clúster activo buscando credenciales
+    y datos sensibles codificados en base64.
+
+    Parámetros:
+      namespace: si se indica, limita la búsqueda a ese namespace;
+                 si es None se escanean todos los namespaces.
+
+    Requiere que 'kubectl' esté disponible en el PATH y que el contexto
+    activo tenga permisos de lectura sobre los Secrets del namespace indicado.
+
+    Retorna una lista de objetos Finding con los secretos detectados.
+    """
+    if not _kubectl_disponible():
+        console.print("[yellow]  Aviso: 'kubectl' no encontrado en PATH — omitiendo escaneo de K8s Secrets[/]")
+        return []
+
+    # Construir comando kubectl
+    if namespace:
+        cmd = ["kubectl", "get", "secret", "-n", namespace, "-o", "json"]
+        scope_label = f"namespace '{namespace}'"
+    else:
+        cmd = ["kubectl", "get", "secret", "--all-namespaces", "-o", "json"]
+        scope_label = "todos los namespaces"
+
+    console.print(f"[cyan]  Consultando Kubernetes Secrets ({scope_label})...[/]")
+
+    try:
+        result = subprocess.run(
+            cmd,
+            capture_output=True,
+            text=True,
+            timeout=30,
+        )
+    except subprocess.TimeoutExpired:
+        console.print("[red]  Tiempo de espera agotado ejecutando 'kubectl get secret'[/]")
+        return []
+    except (FileNotFoundError, OSError) as exc:
+        console.print(f"[red]  Error ejecutando kubectl: {exc}[/]")
+        return []
+
+    if result.returncode != 0:
+        console.print(f"[red]  kubectl salió con código {result.returncode}: {result.stderr.strip()[:200]}[/]")
+        return []
+
+    try:
+        data = json.loads(result.stdout)
+    except json.JSONDecodeError as exc:
+        console.print(f"[red]  Error parseando salida JSON de kubectl: {exc}[/]")
+        return []
+
+    # Puede ser una lista (--all-namespaces) o un objeto único
+    items = data.get("items", [data]) if "items" in data else [data]
+    hallazgos: List[Finding] = []
+
+    for secret in items:
+        meta = secret.get("metadata", {})
+        ns   = meta.get("namespace", "default")
+        name = meta.get("name", "desconocido")
+        tipo = secret.get("type", "")
+        datos = secret.get("data") or {}
+
+        for clave, valor_b64 in datos.items():
+            # Decodificar el valor base64
+            try:
+                valor_decoded = base64.b64decode(valor_b64).decode("utf-8", errors="replace")
+            except Exception:
+                continue
+
+            # Buscar patrones de secreto en el valor decodificado
+            coincidencias = _scan_string_for_secrets(valor_decoded)
+
+            # También escanear la clave (puede revelar el tipo de secreto)
+            clave_coincidencias = _scan_string_for_secrets(clave)
+
+            # Usar el valor decodificado si no hay coincidencias por patrón
+            # pero la clave sugiere que es un secreto
+            claves_sensibles = {"password", "passwd", "secret", "token", "key",
+                                 "apikey", "api_key", "private_key", "auth"}
+            es_clave_sensible = any(k in clave.lower() for k in claves_sensibles)
+
+            if not coincidencias and es_clave_sensible:
+                # Hallazgo genérico basado en nombre de clave
+                fp = _fingerprint(valor_decoded, f"K8S_SECRET_KEY:{clave}")
+                extracto = _censor(valor_decoded[:120])
+                hallazgos.append(Finding(
+                    file=f"k8s://{ns}/{name}",
+                    line_no=0,
+                    pattern=f"K8S_SECRET_KEY: {clave} (tipo: {tipo})",
+                    category="Kubernetes · Secret",
+                    severity=Severity.HIGH,
+                    preview=extracto,
+                    context=[f"namespace={ns}", f"secret={name}", f"tipo={tipo}", f"clave={clave}"],
+                    fingerprint=fp,
+                ))
+            else:
+                for c in coincidencias:
+                    fp = _fingerprint(c["valor"], f"K8S_SECRET:{ns}/{name}/{clave}")
+                    extracto = _censor(c["valor"])
+                    hallazgos.append(Finding(
+                        file=f"k8s://{ns}/{name}",
+                        line_no=0,
+                        pattern=f"K8S_SECRET: {c['name']} (clave: {clave})",
+                        category="Kubernetes · Secret",
+                        severity=c["severity"],
+                        preview=extracto,
+                        context=[f"namespace={ns}", f"secret={name}", f"tipo={tipo}",
+                                 f"clave={clave}", f"patron={c['name']}"],
+                        fingerprint=fp,
+                    ))
+
+    if hallazgos:
+        console.print(f"[dim]  {len(hallazgos)} hallazgo(s) en Kubernetes Secrets[/]")
+    else:
+        console.print("[dim]  Sin secretos detectados en Kubernetes Secrets[/]")
+
+    return hallazgos
+
+
 # ─────────────────────────────────────────────────────────────────────────────
 # CLI
 # ─────────────────────────────────────────────────────────────────────────────
@@ -1566,6 +1897,27 @@ def parse_args() -> argparse.Namespace:
                         "El baseline se crea si no existe (default: .vamp-secrets-baseline.json)."
                     ))
 
+    docker = p.add_argument_group("Escaneo Docker en runtime (v2.3)")
+    docker.add_argument("--scan-container",  metavar="NAME_OR_ID",
+                        dest="scan_container", default=None,
+                        help="Escanear variables de entorno de un contenedor Docker en ejecución. "
+                             "Requiere que 'docker' esté disponible en el PATH.")
+    docker.add_argument("--scan-all-containers", action="store_true",
+                        dest="scan_all_containers",
+                        help="Escanear todos los contenedores Docker actualmente en ejecución "
+                             "('docker ps -q'). Requiere que 'docker' esté disponible en el PATH.")
+
+    k8s = p.add_argument_group("Escaneo Kubernetes Secrets (v2.4)")
+    k8s.add_argument("--k8s", action="store_true",
+                     dest="k8s",
+                     help="Escanear los Kubernetes Secrets del clúster activo (todos los namespaces). "
+                          "Requiere que 'kubectl' esté disponible en el PATH y que el contexto "
+                          "activo tenga permisos de lectura sobre los Secrets.")
+    k8s.add_argument("--k8s-namespace", metavar="NS",
+                     dest="k8s_namespace", default=None,
+                     help="Limitar el escaneo de K8s Secrets a un namespace concreto "
+                          "(implica --k8s). Ej: --k8s-namespace production")
+
     ci = p.add_argument_group("Integración CI/CD")
     ci.add_argument("--install-hook",        action="store_true",
                     help="Instalar hook pre-commit git en el directorio objetivo y salir")
@@ -2016,6 +2368,49 @@ def main() -> None:
         console.print("[dim]  Sin misconfiguraciones Vault detectadas[/]\n")
     all_findings.extend(vault_findings)
 
+    # ── Fase 2d: escaneo de contenedores Docker en runtime (v2.3) ────────────
+    _contenedor_a_escanear = getattr(args, "scan_container", None)
+    _escanear_todos        = getattr(args, "scan_all_containers", False)
+
+    if _contenedor_a_escanear:
+        console.print("[bold cyan]  FASE 2d[/] — Escaneando contenedor Docker en runtime...")
+        docker_findings = scan_docker_container(_contenedor_a_escanear)
+        if docker_findings:
+            console.print(
+                f"[dim]  {len(docker_findings)} hallazgo(s) en variables de entorno "
+                f"del contenedor '{_contenedor_a_escanear}'[/]\n"
+            )
+        else:
+            console.print("[dim]  Sin secretos detectados en el contenedor indicado[/]\n")
+        all_findings.extend(docker_findings)
+
+    elif _escanear_todos:
+        console.print("[bold cyan]  FASE 2d[/] — Escaneando todos los contenedores Docker en ejecución...")
+        docker_findings = scan_all_docker_containers()
+        if docker_findings:
+            console.print(
+                f"[dim]  {len(docker_findings)} hallazgo(s) en variables de entorno "
+                f"de contenedores Docker[/]\n"
+            )
+        else:
+            console.print("[dim]  Sin secretos detectados en los contenedores en ejecución[/]\n")
+        all_findings.extend(docker_findings)
+
+    # ── Fase 2e: escaneo de Kubernetes Secrets (v2.4) ────────────────────────
+    _k8s_ns = getattr(args, "k8s_namespace", None)
+    _k8s    = getattr(args, "k8s", False) or bool(_k8s_ns)
+
+    if _k8s:
+        console.print("[bold cyan]  FASE 2e[/] — Escaneando Kubernetes Secrets...")
+        k8s_findings = scan_kubernetes_secrets(namespace=_k8s_ns)
+        if k8s_findings:
+            console.print(
+                f"[dim]  {len(k8s_findings)} hallazgo(s) en Kubernetes Secrets[/]\n"
+            )
+        else:
+            console.print("[dim]  Sin secretos detectados en Kubernetes Secrets[/]\n")
+        all_findings.extend(k8s_findings)
+
     # ── Deduplicación y filtrado ──────────────────────────────────────────────
     seen: Set[str] = set()
     unique: List[Finding] = []