smaranchand/buckyBucky (Ein automatisches S3-Bucket-Erkennungstool)
Bucky ist ein automatisches Tool zur Erkennung von Fehlkonfigurationen von S3-Buckets. Bucky besteht aus zwei Modulen: dem Bucky Firefox-Addon und der Bucky-Backend-Engine. Das Bucky-Addon liest den Quellcode der Webseiten und verwendet reguläre Ausdrücke (Regex), um den als Content Delivery Network (CDN) genutzten S3-Bucket zu identifizieren, und sendet ihn an die Bucky-Backend-Engine. Die Backend-Engine empfängt die Daten vom Addon und prüft, ob der S3-Bucket öffentlich beschreibbar ist oder nicht. Falls der Bucket verwundbar ist, lädt Bucky automatisch eine Textdatei als Proof of Concept (PoC) hoch.
Das Bucky-Addon sendet die Details des S3-Bucket-Namens, der von den besuchten Webseiten eines Benutzers entdeckt wurde, an die Backend-Engine. Es verwendet das AWS PHP SDK, um Fehlkonfigurationen zu erkennen. Benutzer können auch manuell nach S3-Bucket-Fehlkonfigurationen suchen. Alle Ergebnisse aus automatischen und manuellen Überprüfungen werden im Dashboard angezeigt.
Sehen Sie sich das Video an: https://vimeo.com/444442588
git clone https://github.com/smaranchand/bucky.git
cd bucky
Voraussetzungen: AWS Access Keys und PHP-Installation
AWS Access Keys abrufen: https://console.aws.amazon.com/iam/home?#/security_credentials
PHP-Installation: Installieren Sie je nach Betriebssystem, apt install php7.3 / brew install php7.3
Derzeit ist das Bucky-Addon nicht im Firefox-Addon-Store veröffentlicht; sobald das Addon veröffentlicht wird, wird der Addon-Link bereitgestellt.
Vorläufig können Benutzer das Addon manuell in den Browser laden, um dies zu tun:
AWS Access Keys hinzufügen:
cd bucky/
nano config.inc.php
Fügen Sie Ihre AWS Access Key ID und Ihren Secret Access Key hinzu. (Zeile 57 und 61)
Um Bucky zu verwenden, laden Sie das Bucky-Addon in den Browser und starten Sie die Backend-Engine.
cd bucky/
chmod +x run.sh
./run.sh
Die Backend-Engine läuft unter http://127.0.0.1:13337
Durchsuchen Sie Websites, Bucky entdeckt automatisch S3-Buckets und diese werden im Dashboard angezeigt.
Besuchen Sie die obige Adresse, um auf das Bucky-Dashboard zuzugreifen.
Bucky ausführen
Addon laden
Benutzeroberfläche
Alle Buckets
Manuelle Überprüfung
POC von Bucky
Bucky ist kein perfektes Werkzeug, um S3-Buckets zu entdecken. Es ist bekannt, dass Bucky viele Funktionen vermissen lässt und manchmal die Fehlkonfiguration nicht erkennt. Bestimmte Änderungen und Entwicklungen sind in Planung. Ich schätze Rückmeldungen und Beiträge sehr.