3518 подписчиков
#news Один безопасник написал опенсорсовый инструмент, который сканирует публичные AWS S3 бакеты и ищет случайно оказавшихся в общем доступе ключи, токены и прочее пикантное. В общем, автоматизированный grayhatwarfare. Сканер заточен под неверно настроенные хранилища и проверку текстовых файлов в них на предмет секретов. Скачанное он прогоняет через Trufflehog3.
S3crets Scanner пригодится компаниям для пентеста своих бакетов на коленке во избежание неловких историй с утечками. Все желающие также могут нацепить белую шляпу и пройтись сканером по сети в поисках дырявых ведёр, пока до них не добрался кто-нибудь более предприимчивый и злонамеренный. И оставить держателям сердечное послание в духе примера из статьи: «Дорогой владелец, твой бакет открыт на чтение/запись, но так как Bug Bounty программы ты не завёз, я просто оставлю это здесь. Скорее чини. Всегда твой, белошляпочник».
Около минуты
31 октября 2022