S3 takeover POC

第一步：確認target ip
第二步：掃描target ip 下符合條件的子域
第三步：確認這個S3 bucket web endpoint是不存在的
第四步：takeover it!

第一步

確認標的：example.com # 我沒有域名，很窮QQ

第二部

找出所有子域

1. 使用dig查詢DNS record

# 列出 authority section
> dig example.com

...
;; AUTHORITY SECTION:
example.com.		71232	IN	NS	a.iana-servers.net.
example.com.		71232	IN	NS	b.iana-servers.net.
...

# 找出所有subdomain
> dig @a.iana-servers.net example.com axfr

如果有找到subdomain會輸出類似以下數據

mail.example.com.	1800	IN	A	1.2.3.4
www.example.com.	1800	IN	A	5.6.7.8

查找CNAME指向子域名的s3 web endpoint

> dig sub.example.com

2. 使用Shodan或Fofa等搜尋banner

找出banner有以下關鍵字

<Code>NoSuchBucket</Code>

第三步：確認這個S3 bucket不存在

Response:

<Error>
<Code>NoSuchBucket</Code>
<Message>The specified bucket does not exist</Message>
<BucketName>...</BucketName>
</Error>

第四部：takeover！

創建一個名字一樣地域一樣的s3 bucket，再次訪問subdomain，如果成功印出上傳的網頁，算是接管成功！