OpenBuckets for Web Apps

Já faz algum tempo que estou fuçando em endpoints de nuvem pública, principalmente por curiosidade e em trabalhos ocasionais de pentesting. Continuo encontrando casos em que as empresas simplesmente deixaram seus baldes S3 abertos, como se alguém tivesse esquecido de trancar a porta. É aí que entra o OpenBuckets. Não é chamativo, mas funciona. Você conecta um domínio ou destino e ele verifica AWS, GCP e Azure em busca de armazenamento acessível publicamente. Sem login, sem configuração - basta inserir sua consulta e aguardar.

As coisas boas

A verdadeira vitória é a rapidez com que encontra as coisas. Testei-o em uma empresa aleatória da qual nunca tinha ouvido falar e, em 90 segundos, ele sinalizou três buckets abertos com arquivos confidenciais. Um deles tinha um banco de dados completo de clientes em texto simples – sem criptografia, sem controle de acesso. O recurso de verificação secreta capturou mais de 150 tipos de dados confidenciais, incluindo chaves de API e senhas. Isso não é algo que você obtém com ferramentas básicas como scripts awscli ou bucket-finder. E as opções de filtragem? Muito útil. Você pode restringir os resultados por tipo de arquivo, tamanho ou até mesmo palavras-chave. Economizei horas vasculhando o lixo.

O não tão bom

Definitivamente é um nicho. Se você não estiver fazendo pesquisas de segurança ou equipes vermelhas, isso não fará muito por você. Além disso, nenhum número de versão ou contagem de downloads faz com que pareça um pouco estranho. Eu ficaria mais confortável se houvesse uma licença clara ou informações do desenvolvedor. E sim, os princípios básicos da IU. Não é feio, apenas… funcional. Como um terminal que se enfeitou. Ah, e nenhum desktop apenas com suporte móvel. Mas, honestamente, tudo bem, já que a maioria das pessoas que usam isso provavelmente usa laptops.

Resultado final

Se você gosta de segurança na nuvem, especialmente para encontrar dados expostos, vale a pena tentar o OpenBuckets for Web Apps. É gratuito, roda no seu navegador e faz o que diz sem drama. Não é tão sofisticado quanto algumas ferramentas pagas como o Neuproscan, mas pelo preço zero é sólido. Eu o recomendo para quem deseja verificar rapidamente os buckets públicos, especialmente durante recompensas de bugs ou auditorias. Só não espere sinos e assobios. É o tipo de ferramenta que faz seu trabalho silenciosamente e salva você de uma violação desagradável mais tarde.