BucketBuster

승인된 보안 테스트, 버그 바운티 작업, 그리고 본인이 소유한 인프라를 위한 클라우드 객체 스토리지 노출 스캐너입니다.

BucketBuster는 후보 버킷 이름을 Yandex Cloud, VK Cloud, Selectel, SberCloud, Alibaba OSS, Tencent COS, Huawei OBS, Baidu BOS의 공개 엔드포인트에 대해 검사합니다. 공개적으로 목록 조회가 가능한 버킷을 식별하고, 인증서 관련 객체 이름을 매칭하며, 선택적으로 공개 접근 가능한 객체를 HTTP GET으로 다운로드할 수 있습니다.

승인 필요: 본 도구는 본인이 소유하거나 테스트에 대한 명시적 허가를 받은 자산에만 사용하십시오. 제3자 버킷을 스캔하거나 데이터를 다운로드하는 것은 불법일 수 있습니다. 관련 법률, 계약, 버그 바운티 규칙, 그리고 제공자 정책을 준수할 책임은 사용자에게 있습니다.

기능

• 지원되는 제공자에 대해 가상 호스트 방식 및 경로 방식 엔드포인트를 탐색합니다.
• HTTP 탐색 전 선택적 수동 DNS 확인.
• 구성 가능한 워커 수와 요청 지연을 통한 병렬 스캔.
• 확장자, 이름/경로 패턴, 정규식, 또는 내장 인증서 지표로 필터링.
• 발견 사항을 JSON 및 CSV 보고서로 스트리밍.
• 자격 증명 없이 공개 목록에서 객체를 선택적으로 다운로드.
• 버킷 호스트 이름을 검증하고, IDNA/Punycode 이름을 지원하며, 각 다운로드를 25 MiB로 제한합니다.
• 기본적으로 개인 키 컨테이너를 차단합니다.

요구 사항

• Python 3.9 이상 권장.
• 테스트 대상 엔드포인트에 대한 네트워크 접근.
• 후보 버킷 이름이 한 줄에 하나씩 포함된 워드리스트.

설치

git clone <repository-url>
cd bucketbuster
python -m venv .venv

가상 환경 활성화:

# Linux/macOS
source .venv/bin/activate

# Windows PowerShell
.\.venv\Scripts\Activate.ps1

의존성 설치:

python -m pip install -r requirements.txt

빠른 시작

buckets.txt와 같은 워드리스트를 생성합니다:

example-company
example-company-backup
example-company-documents

기본 제공자 집합인 Yandex Cloud와 VK Cloud를 실행합니다:

python bucketbuster.py --wordlist buckets.txt

스캐너는 HTTP 200 응답, 공개 목록, 매칭되는 객체 이름, 그리고 존재하는 것으로 보이는 접근 거부 엔드포인트를 보고합니다. 404 응답은 무시됩니다.

제공자 범위

제공자 그룹:

--providers russia   # yandex, vk, selectel, sber
--providers china    # aliyun, tencent, huawei, baidu
--providers all      # 모든 지원 제공자

쉼표로 구분된 목록을 제공할 수도 있습니다. 예를 들어:

python bucketbuster.py -w buckets.txt --providers aliyun,tencent

명령줄 옵션

입력 및 탐색

매칭 및 필터링

하나 이상의 필터가 제공되면 OR 논리를 사용합니다: 객체가 구성된 확장자, 이름, 정규식 또는 --match-cert 조건 중 하나라도 충족하면 매칭됩니다. 필터가 없으면 나열된 모든 객체가 보고 및 다운로드 선택의 매칭 대상으로 간주됩니다.

보고서

다운로드

--download-all은 --download가 필요합니다. 다운로드는 객체당 25 MiB로 제한되며, 빈 응답이나 200이 아닌 응답은 저장되지 않습니다. --allow-private-keys가 명시적으로 제공되지 않는 한 개인 키 컨테이너는 차단됩니다.

예제

수동 DNS 확인과 함께 러시아/CIS 제공자를 스캔:

python bucketbuster.py -w buckets.txt --providers russia --dns

모든 지원 제공자를 스캔하고 두 가지 보고서 형식을 모두 작성:

python bucketbuster.py \
	--wordlist buckets.txt \
	--providers all \
	--dns \
	--output findings.json \
	--csv findings.csv

확장자로 인증서 파일일 가능성이 있는 항목을 보고:

python bucketbuster.py -w buckets.txt --match-ext .pfx,.p12,.cer,.crt,.der

부분 문자열과 간단한 와일드카드를 사용하여 이름과 경로를 매칭:

python bucketbuster.py \
	-w buckets.txt \
	--match-name cryptopro,*keystore*,backups/*.sql

여러 정규식 사용:

python bucketbuster.py \
	-w buckets.txt \
	--match-regex '.*backup.*\.sql$' \
	--match-regex 'config/.*\.ya?ml$'

내장 인증서 관련 확장자 및 키워드 목록 활성화:

python bucketbuster.py -w buckets.txt --match-cert

선택한 확장자와 매칭되는 객체만 다운로드:

python bucketbuster.py \
	-w buckets.txt \
	--providers aliyun,tencent \
	--match-ext .cer,.crt,.p7b \
	--download \
	--download-dir ./authorized-downloads

공개 목록에 표시되는 모든 객체를 다운로드합니다. 이는 의도적으로 모든 매칭 필터를 무시하며 승인된 테스트 자산에서만 사용해야 합니다:

python bucketbuster.py -w buckets.txt --download --download-all

입력 및 출력

후보 입력은 단순 버킷 이름, 호스트 이름, 전체 스토리지 URL 또는 경로 방식 URL일 수 있습니다. 이름은 DNS 또는 HTTP 작업 전에 정규화되고 검증됩니다. 중복 및 유효하지 않은 후보는 폐기됩니다.

JSON 발견 사항에는 제공자, 버킷, URL, HTTP 상태, 목록 조회 가능 여부, 매칭된 파일, 목록에서 발견된 모든 파일, DNS 상태, 비고, 짧은 목록 스니펫, 그리고 다운로드된 로컬 경로가 포함됩니다. CSV에는 주요 발견 필드가 포함되며, 파일 목록은 세미콜론으로 구분된 값으로 직렬화됩니다.

다운로드는 선택한 디렉터리 아래에 제공자와 버킷별로 구성됩니다:

downloads/
	yandex/
		example-company/
			certificates/client.cer

객체 경로는 로컬에 기록되기 전에 정제됩니다. 다운로드는 순차적으로 이루어지며 구성된 지연에 의해 속도가 제한됩니다.

안전 및 책임 있는 사용

• 본 도구는 클라우드 제공자에 인증하거나 접근 제어를 우회하지 않습니다.
• 공개 목록 및 객체 접근은 여전히 민감한 정보를 노출할 수 있습니다. 발견 사항을 기밀로 취급하고 승인 범위를 따르십시오.
• 기본 스캔은 많은 제공자 엔드포인트에 요청을 보낼 수 있습니다. 프로그램이나 제공자 정책에서 요구하는 경우 보수적인 --threads 값을 설정하고 --delay를 늘리십시오.
• 승인이 관련 객체 및 데이터 처리까지 명시적으로 포함하지 않는 한 --download, --download-all, --allow-private-keys를 사용하지 마십시오.
• 민감한 자료가 발견되면 테스트를 중단하고 해당 공개 프로세스에 따라 자산 소유자에게 알리십시오.

라이선스

BucketBuster는 BSD 2-Clause License에 따라 배포됩니다.