So suchen Sie nach Open Amazon s3 Buckets und deren Inhalten - https://buckets.grayhatwarfare.com

Intro

TLTR - Aus diesem Grund habe ich https://buckets.grayhatwarfare.com/ erstellt, ein kostenloses Tool, das offene S3-Buckets auflistet und Ihnen bei der Suche nach interessanten Dateien hilft.

Eine Einführung zu Amazon Open Buckets finden Sie unter https://blog.rapid7.com/2013/03/27/open-s3-buckets/. Im Wesentlichen sind viele Dateien öffentlich zugänglich, einige davon aufgrund von Inkompetenz der Administratoren. Diese Dateien enthalten manchmal sehr sensible Daten. https://github.com/nagwww/s3-leaks hat eine Liste der größten festgestellten Lecks.

Seit dieser Veröffentlichung wurden viele Projekte erstellt, in denen S3-Buckets aufgelistet werden können:

  • https://github.com/jordanpotti/AWSBucketDump - Nimmt ein Argument als Wortliste und kann prüfen, ob Eimer mit diesem Namen vorhanden sind. Außerdem können die Dateien von der ersten Ergebnisseite heruntergeladen werden.
  • https://buckhacker.com/ - Der Original-Buckhacker, wie er mich persönlich informiert. Der Buckethacker unten ist ein Nachahmer. Mittlerer Buckethacker und Twitter-Buckethacker ist der echte echte, unten ist Nachahmer.
  • https://www.thebuckhacker.com/ - Suchmaschine für einige Eimer. Sie enthalten (entsprechend ihren Beiträgen) ~ 100 000 Eimer und indizieren die erste Seite jeder Kopie von buckhacker.com
  • https://github.com/sa7mon/S3Scanner -
  • https://github.com/kromtech/s3-inspector - Verwendet Amazon-Schlüssel, um zu überprüfen, ob einige von Ihnen Eimer offen sind.

Alle diese Tools / Projekte haben einige häufige Probleme:

  • Das eigentliche Problem (zumindest für mich) ist, wo man die Liste für Bruteforce für Eimer findet und nicht für Bruteforce.
  • Alle Tools / Projekte scannen nur die erste Seite nach Ergebnissen.
  • thebuckhacker.com enthält uninteressante Dateien, und nützliche Ergebnisse gehen in der Regel im Rauschen verloren. Auch die ersten 1000 Ergebnisse jedes Eimers sind ziemlich begrenzt.
  • Der Prozess ist langsam und nicht produktiv. Es ist für Pentester nicht sehr nützlich, ein Tool für Tage laufen zu lassen, die Exporte irgendwo zu speichern und sie dann zu greifen, wann immer sie nach etwas suchen möchten. Was besser ist, ist ein nützliches Tool vor einer großen Datenbank.

buckets.grayhatwarfare.com

Und so habe ich http://buckets.grayhatwarfare.com/ erstellt. Ich habe die Ideen aus den oben genannten Tools / Projekten übernommen, sie jedoch größtenteils selbst neu geschrieben und auf meiner Infrastruktur ausgeführt. Die Funktionen des Projekts sind:

  • Es ist eine durchsuchbare Datenbank mit offenen Eimern.
  • Ich habe bis zu Millionen Ergebnisse von jedem Eimer aufgenommen. (In Zukunft könnte mehr sein).
  • Ich habe alle uninteressanten (meiner Meinung nach) Dateien wie Bilder entfernt. Die meisten Bildnamen werden automatisch generiert.
  • Ich habe derzeit ~ 180.000.000 Dateien. Ich habe alle Bilder miteinbezogen, deren Anzahl auf einige Milliarden ansteigen würde, was ein völlig anderes System ist.
  • Bis heute sind 70 000 Eimer aufgelistet (nicht alle haben „interessante“ Dateien)
  • Volltextsuche mit Binärlogik (kann sowohl nach Stichwörtern als auch nach Stoppwörtern suchen)
  • Ich füge die Liste der Eimer hinzu.
  • Der Benutzer kann den Inhalt des Buckets durchsuchen.
  • Viele andere Dinge, die nicht interessant sind, wie Cloudwatch-Protokolle, wurden ausgeschlossen.
  • Fand eine Lösung das Problem auf, wie man mögliche Namen für Eimer erzeugt. Mein Prozess beleidigt einige hundert neue Eimer pro Tag.
  • Ich habe den Prozess größtenteils automatisiert.

Warum das schaffen?

Obwohl ich mich selbst als Softwareentwickler betrachte, war ich immer fasziniert von Sicherheit. Ich habe oft mehrere Tools erstellt, die massenweise nach Schwachstellen suchen, nur um zu sehen, ob dies möglich ist. Obwohl ich die Tools erstellt habe, veröffentliche ich nie etwas, bei dem ich immer das Gefühl hatte, meine Zeit zu verschwenden. grayhatwarfare.com ist mein Versuch, einige meiner Arbeiten zu präsentieren, auch wenn sie anonym sind.

Das Projekt ist derzeit kostenlos und läuft auf von mir bezahlten Servern. Es gibt einige Einschränkungen, um Ressourcen zu schützen, aber ansonsten können Pentester diese für ihre täglichen Aufgaben verwenden.

Was ist in grayhatwarfare.com zu kommen

Viele coole Sachen, wenn ich die Zeit habe:

  • Subdomains, die auf abgelaufene Buckets verweisen, was zu Folgendem führen kann: https://www.reddit.com/r/netsec/comments/8t0pb2/how_i_hacked_applecom/
  • Riesige Listen mit offengelegten Versionskontrolldateien (.git), die das Repository der Website offen legen können (Quelle, Kennwortdateien, Protokolldateien usw.).
  • Belichtete Kameras / IOT-Geräte.
  • Riesige Ressourcen wie extrem große (aktuelle) geknackte Passwortlisten.