S3 Account Search

Esta ferramenta permite encontrar o ID da conta a que um bucket S3 pertence.

Para que isso funcione, você precisa ter pelo menos uma destas permissões:

• Permissão para baixar um arquivo conhecido do bucket (s3:getObject).
• Permissão para listar o conteúdo do bucket (s3:ListBucket).

Além disso, você precisará de uma função que possa assumir com (uma dessas) permissões no bucket que está examinando

Mais informações podem ser encontradas no Blog da Cloudar

Instalação

Este pacote está disponível no pypi. Você pode, por exemplo, usar um destes comandos (pipx é recomendado)

pipx install s3-account-search
pip install s3-account-search

Exemplos de Uso

# with a bucket
s3-account-search arn:aws:iam::123456789012:role/s3_read s3://my-bucket

# with an object
s3-account-search arn:aws:iam::123456789012:role/s3_read s3://my-bucket/path/to/object.ext

# You can also leave out the s3://
s3-account-search arn:aws:iam::123456789012:role/s3_read my-bucket

# Or start from a specified source profile
s3-account-search --profile source_profile arn:aws:iam::123456789012:role/s3_read s3://my-bucket

Como funciona

Existe uma condição de política IAM s3:ResourceAccount, que se destina a ser usada para fornecer acesso ao S3 em um conjunto específico de contas, mas também suporta curingas. Construindo os padrões corretos e vendo quais levarão a uma Negativa (Deny) ou uma Permissão (Allow), podemos determinar o ID da conta descobrindo-o um dígito de cada vez.

1. Verificamos que podemos acessar o objeto ou bucket com a função fornecida
2. Assumimos a mesma função novamente, mas desta vez adicionamos uma política que restringe nosso acesso a buckets S3 que existem em uma conta começando com 0. Se nosso acesso for permitido, sabemos que o ID da conta deve começar com 0. Se a solicitação for negada, tentamos novamente com 1 como primeiro dígito. Continuamos incrementando até que nossa solicitação seja permitida e encontramos o primeiro dígito
3. Repetimos esse processo para cada dígito. Usando os dígitos já descobertos como prefixo. Por exemplo, se o primeiro dígito for 8, testamos IDs de conta começando com 80, 81, 82, etc.

Desenvolvimento

Usamos poetry para gerenciar este projeto

1. Clone este repositório
2. Run poetry install
3. Ative o ambiente virtual com poetry shell (você também pode usar poetry run $command)

Publicando uma nova versão no pypi

1. Edite o pyproject.toml para atualizar o número da versão
2. Faça commit do incremento do número da versão
3. Run poetry publish --build
4. Envie para o GitHub
5. Crie uma nova release no GitHub

Possíveis melhorias

• Em vez de verificar um dígito de cada vez, poderíamos usar um algoritmo semelhante à busca binária. Por exemplo, a seguinte condição é equivalente a s3:ResourceAccount < 500000000000
  root@kitploit:~

  "Condition": {
    "StringLike": {"s3:ResourceAccount": [
      "0*", "1*", "2*", "3*", "4*",
    ]},
  },
  

• Da mesma forma, é possível uma melhoria de velocidade verificando vários dígitos por posição em paralelo (Há um pequeno risco de ser limitado por taxa pelo STS ao usar essa abordagem)

Na prática, esta ferramenta deve ser rápida o suficiente na maioria dos casos.