Публічні бакети

Що таке Публічні бакети?

Бакети об'єктного сховища мають назви й нічим не приховані, а сканери цілодобово перебирають шаблони назв. Бакет, налаштований на анонімне читання, — це публічний вебсайт, про публікацію якого ви не знали. Ви знайдете назву бакета на публічній сторінці підтримки, отримаєте перелік його вмісту й одним неавтентифікованим запитом заберете нічний експорт даних клієнтів. Потім увімкнете блокування публічного доступу для бакета й замінете політику із символом підстановки на таку, у якій указано, хто може читати. Закриття доступу до бакета не скасовує завантаження даних, які вже пішли.

Що ви дізнаєтесь у Публічні бакети

• Пам'ятайте: назви бакетів можна вгадати, і їх безперервно сканують. Не вважайте прихованість контролем доступу.
• Враховуйте, що анонімне читання бакета з експортом — це повний витік даних за один запит, і жодне обмеження частоти запитів його не сповільнить.
• Ввімкніть блокування публічного доступу для бакета, який опинився у відкритому доступі, а потім для всього облікового запису, щоб і наступний бакет був захищений.
• Доводьте, що виправлення спрацювало: повторюйте ідентичний анонімний запит і переконуйтеся, що його відхилено.

Публічні бакети — Кроки навчання

1. Хост на сторінці підтримки

   Боб обрав ціллю Orbrandt — компанію, програмне забезпечення якої веде графіки прийому та картки клієнтів кількох сотень ветеринарних клінік. У нього немає ні облікових даних, ні плацдарму, і поки що він не шукає ані того, ані іншого. Він починає звідти, звідки може почати будь-хто: з тих частин компанії, які призначені для публічного доступу.

2. Додайте цей хост до списку дозволених

   Сторінка саме така, якою себе подає: друковані форми згоди та шаблони імпорту для клінік. Корисна, нудна й цілком призначена для публічного доступу. Одна примітка на ній цікавіша за самі форми.

3. Попросіть у бакета перелік

   Бакет, що віддає файли, — це одне. Бакет, що перелічує свій вміст стороннім, — зовсім інше, і це два окремі дозволи, які люди регулярно надають разом ненавмисно. Боб просить перелік зовсім без облікових даних.

4. Що міститься в префіксі exports

   Префікс forms — той, який компанія збиралася публікувати. Боб одразу оминає його.

5. Вебсайт, якого ніхто не публікував

   Командний рядок — звичка Боба, але він не обов'язковий. Той самий дозвіл відповідає й звичайному браузеру. Це варто побачити, бо саме так на такий відкритий доступ зазвичай натрапляє той, хто його навіть не шукав.

6. Ні входу, ні ключа — лише URL

   Облікових даних ніхто не надавав і ніхто не вимагав. Бакет віддав власний перелік вмісту анонімному браузеру.

7. Заберіть копію

   Перелік вмісту бакета показує зловмисникові, що там є. Читання з нього — окремий дозвіл, і компанія Orbrandt надала й цей.

8. Що було всередині

   Досі йшлося лише про назви файлів і кількість байтів. Боб відкриває початок файлу, щоб побачити, що саме він забрав. Боб закриває ноутбук із копією всіх клієнтських записів, які має компанія Orbrandt.

9. Чому це спрацювало

10. Це знайшов ще хтось

    Того ж дня по обіді ніхто в компанії Orbrandt нічого не помітив, бо анонімне читання не залишає у поштовій скриньці нічого, що можна було б помітити. Потім дослідник знаходить той самий бакет і діє відповідально.