issif/cercat

Cercat

!release !last commit !licence !docker pulls

镜像概述与主要用途

certcat（证书捕捉器）通过监控CertStream流中的已颁发证书，当域名匹配指定正则表达式时向Slack发送警报。其工作流程如下：

bash
               websocket    +----------+   POST
CertSteam <-----------------> cercat   +-----------> Slack
                            | (regexp) |
                            +----------+

!https://github.com/issif/cercat/raw/master/screenshot.png

该工具深受https://github.com/AssuranceMaladieSec/CertStreamMonitor/blob/master/README.md%E5%90%AF%E5%8F%91%EF%BC%8C%E6%9C%80%E5%88%9D%E6%97%A8%E5%9C%A8%E9%80%9A%E8%BF%87Golang%E7%89%88%E6%9C%AC%E6%8F%90%E5%8D%87%E8%AF%81%E4%B9%A6%E6%8D%95%E6%8D%89%E6%80%A7%E8%83%BD%E3%80%82

核心功能与特性

• 实时监控：通过CertStream WebSocket实时接收证书颁发信息
• 域名匹配：正则表达式应用于主域名和主题备用名称（SAN）域名
• IDN处理：若域名是国际化域名（IDN），会先转换为ASCII格式再进行匹配
• 灵活配置：支持配置文件和环境变量两种配置方式（环境变量优先级更高）
• 性能优化：基于Golang开发，具备高效的证书处理能力

使用场景与适用范围

适用于需要监控特定域名证书颁发情况的场景，例如：

• 安全团队监控品牌相关域名的证书颁发活动
• 组织监控内部域名的未授权证书申请
• 研究人员追踪特定域名模式的证书趋势

配置说明

支持两种配置方式，可混合使用（环境变量会覆盖配置文件中的值）：

配置文件方式

创建YAML格式配置文件，示例如下：

yaml
---
SlackWebhookURL: "" # Slack Webhook URL
SlackIconURL: "" # Slack头像图标URL
SlackUsername: "" # Slack消息发送用户名
Regexp: ".*\\.fr$" # 匹配正则表达式（不能为空，使用Golang regexp格式）

环境变量方式

支持以下环境变量：

• SLACKWEBHOOKURL：Slack Webhook URL（必填）
• SLACKICONURL：Slack头像图标URL（可选）
• SLACKUSERNAME：Slack消息发送用户名（可选）
• REGEXP：匹配正则表达式（必填，使用Golang regexp格式）

使用方法

命令行参数

usage: cercat [<flags>]

Flags:
      --help                   显示上下文相关帮助（也可尝试 --help-long 和 --help-man）
  -c, --configfile=CONFIGFILE  配置文件路径

Docker部署示例

使用Docker运行：

bash
docker run -d \
  -e SLACKWEBHOOKURL=https://hooks.slack.com/services/XXXXX \
  -e REGEXP=".*\\.fr$" \
  issif/cercat:latest 

日志格式

应用日志示例：

bash
INFO[0005] A certificate for 'xxxx.fr' has been issued : {"domain":"xxxx.fr","SAN":["xxxx.fr","www.xxxx.fr"],"issuer":"Let's Encrypt","Addresses":["X.X.X.129"]} 
INFO[0008] A certificate for 'xxxx.fr' has been issued : {"domain":"xxxx.fr","SAN":["xxxx.fr","www.xxxx.fr"],"issuer":"Let's Encrypt","Addresses":["X.X.X.116"]} 

性能分析与监控

服务开放6060端口用于性能分析、追踪和指标收集：

• 性能分析：访问 http://localhost:6060/debug/pprof
• 指标数据：访问 http://localhost:6060/debug/vars

许可证

MIT

作者

Thomas Labarussias - https://www.github.com/issif Ayoul Elaassal - https://github.com/ayoul3