S3 Account Search

Questo strumento ti permette di trovare l'ID dell'account a cui appartiene un bucket S3.

Per farlo funzionare devi avere almeno uno di questi permessi:

• Permesso di scaricare un file noto dal bucket (s3:getObject).
• Permesso di elencare il contenuto del bucket (s3:ListBucket).

Inoltre, avrai bisogno di un ruolo che puoi assumere con (uno di) questi permessi sul bucket che stai esaminando

Maggiori informazioni sono disponibili sul Cloudar Blog

Installazione

Questo pacchetto è disponibile su pypi, puoi ad esempio usare uno di questi comandi (pipx è consigliato)

pipx install s3-account-search
pip install s3-account-search

Esempi di Utilizzo

# with a bucket
s3-account-search arn:aws:iam::123456789012:role/s3_read s3://my-bucket

# with an object
s3-account-search arn:aws:iam::123456789012:role/s3_read s3://my-bucket/path/to/object.ext

# You can also leave out the s3://
s3-account-search arn:aws:iam::123456789012:role/s3_read my-bucket

# Or start from a specified source profile
s3-account-search --profile source_profile arn:aws:iam::123456789012:role/s3_read s3://my-bucket

Come funziona

Esiste una condizione delle policy IAM s3:ResourceAccount, che è pensata per essere utilizzata per concedere accesso a S3 in uno specifico (insieme di) account, ma supporta anche wildcard. Costruendo i pattern giusti e vedendo quali porteranno a un Deny o a un Allow, possiamo determinare l'ID dell'account scoprendolo una cifra alla volta.

1. Verifichiamo di poter accedere all'oggetto o al bucket con il ruolo fornito
2. Assumiamo nuovamente lo stesso ruolo, ma questa volta aggiungiamo una policy che limita il nostro accesso ai bucket S3 che esistono in un account che inizia con 0. Se il nostro accesso è consentito, sappiamo che l'ID dell'account deve iniziare con 0. Se la richiesta viene negata, riproviamo con 1 come prima cifra. Continuiamo a incrementare fino a quando la nostra richiesta è consentita e troviamo la prima cifra.
3. Ripetiamo questo processo per ogni cifra. Utilizzando le cifre già scoperte come prefisso. Ad esempio se la prima cifra era 8, testiamo ID account che iniziano con 80, 81, 82, ecc.

Sviluppo

Usiamo poetry per gestire questo progetto

1. Clona questo repository
2. Esegui poetry install
3. Attiva l'ambiente virtuale con poetry shell (puoi anche usare poetry run $command)

Pubblicare una nuova versione su pypi

1. Modifica pyproject.toml per aggiornare il numero di versione
2. Esegui il commit dell'incremento del numero di versione
3. Esegui poetry publish --build
4. Esegui push su GitHub
5. Crea una nuova release su GitHub

Miglioramenti possibili

• Invece di controllare una cifra alla volta, potremmo usare un algoritmo simile alla ricerca binaria. Ad es. la seguente condizione è equivalente a s3:ResourceAccount < 500000000000
  root@kitploit:~

  "Condition": {
    "StringLike": {"s3:ResourceAccount": [
      "0*", "1*", "2*", "3*", "4*",
    ]},
  },
  

• Allo stesso modo, è possibile un miglioramento della velocità controllando più cifre per posizione in parallelo (C'è un piccolo rischio di essere limitati dal rate limiting di STS quando si utilizza questo approccio)

In pratica questo strumento dovrebbe essere abbastanza veloce nella maggior parte dei casi.