Основы этичного веб-хакинга (перевод)

5. Открытые бакеты Shopify S3

Сложность: Средняя 
Url: cdn.shopify.com/assets 
Ссылка на отчет: https://hackerone.com/reports/106305²⁰ 
Дата отчета: 9 ноября 2015 
Выплаченное вознаграждение: $1000 
Описание: 
Amazon Simple Storage, S3, является сервисом, который поз- 
воляет клиентам хранить и обслуживать файлы с облачных 
серверов Amazon. Shopify, как и многие другие сайты, исполь- 
зует S3 для хранения и обслуживания статического контента, 
такого, как изображения. 
Весь набор Amazon Web Services, AWS, очень устойчив и вклю- 
чает систему управления правами доступа, позволяющую ад- 
министраторам определять права доступа для каждого отдельного сервиса, включая S3. Права доступа включают в себя 
возможность создавать бакеты S3 (бакет - это что-то вроде 
директории-хранилища), читать из бакетов и записывать в 
бакеты, помимо всего остального. 
Судя по отчету об уязвимости, Shopify не сконфгурировали 
надлежащим образом доступ к своим S3 бакетам и невольно 
позволили тем самым любому авторизованному пользователю 
AWS читать и записывать содержимое в свои бакеты. Оче- 
видно, что это проблема, поскольку вы не захотите, чтобы 
злоумышленники использовали ваши S3 бакеты, в лучшем 
случае для хранения и обслуживания файлов. 
К сожалению, детали этого тикета не были раскрыты, но я 
предполагаю, что уязвимость была обнаружена при помощи 
консольного интерфейса (CLI) для доступа к AWS. Хотя для 
этого потребуется иметь AWS-аккаунт, его создание бесплатно 
и не требует подключения каких-либо услуг. В результате, с 
помощью CLI вы можете авторизоваться в AWS и протестиро- 
вать доступ. 
Выводы 
Когда вы ищете потенциальную цель, убедитесь, 
что узнали обо всех различных инструментах, 
включая веб-сервисы, которые они могут исполь- 
зовать. Каждый сервис, программа, операцион- 
ная система и так далее, которую вы сможете 
найти, открывает новый потенциальный вектор 
атаки. Кроме того, хорошей идеей будет ознако- 
миться с популярными инструментам для веба, 
такими, как AWS S3, Zendesk, Rails и другими, 
используемыми множеством сайтов.