
Bucky (инструмент для автоматического обнаружения S3-бакетов)

Bucky — это автоматический инструмент для обнаружения неправильной конфигурации S3-бакетов. Bucky состоит из двух модулей: аддона для Firefox и бэкенд-движка. Аддон Bucky читает исходный код веб-страниц и использует регулярные выражения (Regex) для поиска S3-бакетов, используемых в качестве CDN, и отправляет их в бэкенд-движок. Бэкенд-движок получает данные от аддона и проверяет, является ли S3-бакет общедоступным для записи. Если бакет уязвим, Bucky автоматически загружает текстовый файл в качестве доказательства концепции (PoC).
Аддон Bucky отправляет данные об имени S3-бакета, обнаруженного на посещаемых пользователем веб-страницах, в бэкенд-движок. Для обнаружения неправильной конфигурации используется AWS PHP SDK. Пользователи также могут вручную проверить конфигурацию S3-бакетов. Все результаты автоматической и ручной проверки отображаются на панели управления.
Смотрите видео: https://vimeo.com/444442588
git clone https://github.com/smaranchand/bucky.git
cd bucky
Требования: ключи доступа AWS и установленный PHP.
Получить ключи доступа AWS: https://console.aws.amazon.com/iam/home?#/security_credentials
Установка PHP: выполните установку в соответствии с вашей ОС, например apt install php7.3 или brew install php7.3.
В настоящее время аддон Bucky не опубликован в магазине аддонов Firefox; как только он будет опубликован, ссылка будет предоставлена.
Пока же пользователи могут загрузить аддон вручную:
about:debugging.bucky/addon/bucky.js.Добавление ключей доступа AWS:
cd bucky/
nano config.inc.php
Добавьте ваш AWS Access Key ID и Secret Access Key (строки 57 и 61).
Чтобы использовать Bucky, загрузите аддон Bucky в браузер и запустите бэкенд-движок.
cd bucky/
chmod +x run.sh
./run.sh
Бэкенд-движок работает на http://127.0.0.1:13337
Посещайте веб-сайты — Bucky будет автоматически обнаруживать S3-бакеты и отображать их на панели управления.
Перейдите по указанному выше адресу, чтобы получить доступ к панели управления Bucky.
Запуск Bucky

Загрузка аддона
Пользовательский интерфейс

Все бакеты
Ручная проверка

PoC от Bucky

Bucky не является идеальным инструментом для обнаружения S3-бакетов. Хорошо известно, что Bucky не хватает многих функций, и иногда он может не обнаружить неправильную конфигурацию. Определенные изменения и разработка находятся в стадии разработки. Я очень ценю отзывы и вклад.