s3-bucket-take-0v3r

Escáner y herramienta de apropiación de buckets S3

📌 Descripción

S3 Bucket Takeover Scanner & Claim Tool es una utilidad basada en Python 2.7 que:

1. Escanea nombres de dominio para identificar posibles vulnerabilidades de apropiación de buckets de Amazon S3.
2. Reclama automáticamente buckets S3 no registrados y sube una página HTML de prueba.

Esta herramienta es ideal para caza de bug bounty, auditoría de activos en la nube o pruebas de penetración legales dentro de entornos autorizados.

⚙️ Características

• ✅ Escanear múltiples dominios para identificar enlaces de buckets S3 vulnerables
• ✅ Extraer y resolver registros CNAME de dominios
• ✅ Detectar automáticamente la región de AWS a partir del CNAME
• ✅ Identificar vulnerabilidades de apropiación mediante la respuesta The specified bucket does not exist
• ✅ Crear (reclamar) automáticamente el bucket si es vulnerable
• ✅ Subir un archivo index.html al bucket y habilitar el alojamiento estático
• ✅ Registrar los dominios vulnerables en vulnerable_buckets.txt
• ✅ Soporte de múltiples hilos para un escaneo más rápido
• ✅ Salida de consola y banner con códigos de color para mayor claridad

🧠 Resumen de funciones de la herramienta

🚀 Cómo Usar

1. Requisitos

• Python 2.7
• Librerías boto3, requests
• dig (utilidad DNS basada en Linux)
• Un archivo llamado domains.txt que contenga una lista de dominios objetivo:

example1.com example2.com

2. Ejecutar la herramienta

python2 script.py domains.txt

3. Salida

• Los resultados se imprimirán en la terminal
• Los dominios vulnerables se guardarán en vulnerable_buckets.txt
• Los buckets reclamados se crearán y se alojarán con una página de índice

⚠️ Aviso legal

🟥 IMPORTANTE: Esta herramienta solo debe utilizarse para:

• Probar tus propios recursos de AWS S3
• Programas de bug bounty autorizados
• Contar con permiso por escrito del propietario del dominio o del activo

El uso no autorizado de esta herramienta para explotación o manipulación de datos es ilegal y puede dar lugar a procesamiento penal conforme a las leyes internacionales de ciberseguridad.

Otro aviso:

He escrito el aviso en la portada de Jenderal92. Puedes comprobarlo AQUÍ !!!