S3 Account Search

यह टूल आपको वह खाता आईडी खोजने देता है जिससे कोई S3 बकेट संबंधित है.

इसके काम करने के लिए आपके पास इनमें से कम से कम एक अनुमति होनी चाहिए:

• बकेट से किसी ज्ञात फ़ाइल को डाउनलोड करने की अनुमति (s3:getObject).
• बकेट की सामग्री को सूचीबद्ध करने की अनुमति (s3:ListBucket).

इसके अतिरिक्त, आपको एक ऐसी भूमिका की आवश्यकता होगी जिसे आप अपनी जाँच कर रहे बकेट पर इन (में से एक) अनुमतियों के साथ धारण कर सकें

कुछ और पृष्ठभूमि जानकारी Cloudar Blog पर पाई जा सकती है

स्थापना

यह पैकेज pypi पर उपलब्ध है, उदाहरण के लिए आप इनमें से किसी एक कमांड का उपयोग कर सकते हैं (pipx अनुशंसित है)

pipx install s3-account-search
pip install s3-account-search

उपयोग के उदाहरण

# with a bucket
s3-account-search arn:aws:iam::123456789012:role/s3_read s3://my-bucket

# with an object
s3-account-search arn:aws:iam::123456789012:role/s3_read s3://my-bucket/path/to/object.ext

# You can also leave out the s3://
s3-account-search arn:aws:iam::123456789012:role/s3_read my-bucket

# Or start from a specified source profile
s3-account-search --profile source_profile arn:aws:iam::123456789012:role/s3_read s3://my-bucket

यह कैसे काम करता है

एक IAM पॉलिसी कंडीशन s3:ResourceAccount है, जिसका उपयोग निर्दिष्ट खाता(खातों) में S3 तक पहुँच देने के लिए किया जाता है, लेकिन यह वाइल्डकार्ड का भी समर्थन करती है। सही पैटर्न बनाकर, और यह देखकर कि कौन से पैटर्न अस्वीकार (Deny) या अनुमति (Allow) की ओर ले जाएंगे, हम एक बार में एक अंक खोजकर खाता आईडी निर्धारित कर सकते हैं।

1. हम सत्यापित करते हैं कि हम प्रदान की गई भूमिका के साथ ऑब्जेक्ट या बकेट तक पहुँच सकते हैं
2. हम फिर से उसी भूमिका को धारण करते हैं, लेकिन इस बार एक ऐसी नीति जोड़ते हैं जो 0 से शुरू होने वाले खाते में मौजूद S3 बकेट तक हमारी पहुँच को प्रतिबंधित करती है। यदि हमारी पहुँच की अनुमति है, तो हमें पता चलता है कि खाता आईडी 0 से शुरू होनी चाहिए। यदि अनुरोध अस्वीकार कर दिया जाता है, तो हम पहले अंक के रूप में 1 के साथ पुनः प्रयास करते हैं। हम तब तक वृद्धि करते रहते हैं जब तक हमारे अनुरोध की अनुमति नहीं हो जाती, और हम पहला अंक ढूंढ लेते हैं
3. हम इस प्रक्रिया को प्रत्येक अंक के लिए दोहराते हैं। पहले से खोजे गए अंकों को उपसर्ग के रूप में उपयोग करते हुए। उदा., यदि पहला अंक 8 था, तो हम 80, 81, 82, आदि से शुरू होने वाली खाता आईडी का परीक्षण करते हैं।

विकास

हम इस प्रोजेक्ट को प्रबंधित करने के लिए poetry का उपयोग करते हैं

1. इस रिपॉजिटरी को क्लोन करें
2. poetry install चलाएँ
3. poetry shell के साथ वर्चुअल वातावरण को सक्रिय करें (आप poetry run $command का भी उपयोग कर सकते हैं)

pypi पर नया संस्करण जारी करना

1. संस्करण संख्या अपडेट करने के लिए pyproject.toml को संपादित करें
2. संस्करण संख्या वृद्धि को कमिट करें
3. poetry publish --build चलाएँ
4. GitHub पर पुश करें
5. GitHub में एक नया रिलीज़ बनाएँ

संभावित सुधार

• एक बार में एक अंक की जाँच करने के बजाय, हम बाइनरी सर्च जैसे एल्गोरिदम का उपयोग कर सकते हैं। उदा. निम्नलिखित शर्त s3:ResourceAccount < 500000000000 के बराबर है
  root@kitploit:~

  "Condition": {
    "StringLike": {"s3:ResourceAccount": [
      "0*", "1*", "2*", "3*", "4*",
    ]},
  },
  

• इसी तरह, प्रति स्थान कई अंकों की समानांतर जाँच करके गति में सुधार संभव है (इस दृष्टिकोण का उपयोग करते समय STS द्वारा दर सीमित (rate limited) होने का एक छोटा जोखिम है)

व्यवहार में यह टूल अधिकांश मामलों में काफी तेज़ होना चाहिए।