Demostración de análisis de buckets públicos de AWS S3 en Windows y Python

En este tutorial aprenderás cómo analizar buckets públicos de AWS S3, descargar archivos y evaluar riesgos usando Windows con AWS CLI y Python, paso a paso. Esta guía está pensada para usuarios nuevos que quieran entender la seguridad de los buckets de manera ética y profesional.

Advertencia: Solo analiza buckets públicos o de tu propiedad. Analizar buckets de terceros sin permiso es ilegal.

1. Objetivos del análisis

Antes de empezar, define lo que queremos lograr:

1. Detectar buckets públicos con permisos abiertos.
2. Listar su contenido para identificar archivos y carpetas accesibles.
3. Descargar archivos relevantes para su análisis.
4. Identificar riesgos de seguridad en web y CDNs.
5. Aprender buenas prácticas para proteger buckets propios.

 

2. Herramientas necesarias

Para usuarios nuevos, estas herramientas son suficientes:

Herramienta	Uso
AWS CLI	Listar y descargar archivos de buckets públicos.
Python + Boto3	Automatizar tareas, generar reportes y analizar archivos.
Editor de texto / VSCode	Revisar contenido de archivos descargados.
Navegador web	Probar enlaces directos de archivos y evaluar riesgos.

3. Preparación en Windows

1. Descargar e instalar AWS CLI desde: AWS CLI MSI Installer.
2. Abrir PowerShell y verificar instalación:

aws --version

4. Listando un bucket público

Supongamos el bucket: https://bamboo-assets.s3.amazonaws.com/

Explicación:

• ls → lista archivos y carpetas

• --no-sign-request → permite acceder sin credenciales

• --region ca-central-1 → indica la región del bucket

5. Accediendo a subcarpetas

Para analizar uploads/:

aws s3 ls s3://bamboo-assets/uploads/ --region ca-central-1 --no-sign-request

6. Descargando archivos

Archivo individual: aws s3 cp s3://bamboo-assets/uploads/file1.txt C:\Users\TuUsuario\Downloads\file1.txt --region ca-central-1 --no-sign-request

7. Detectando riesgos

• Archivos sensibles expuestos (.txt, .json, .env, backups)
• Configuración pública incorrecta (lectura y descarga abiertas)
• Riesgos web/CDN si los archivos se usan en páginas públicas

https://bamboo-assets.s3.amazonaws.com/app-images/brand-images/5511/logo

8. Automatización con Python

Para automatizar el análisis, podemos usar Python con boto3:

import boto3
from botocore import UNSIGNED
from botocore.client import Config
import os

# Configuración del bucket y carpeta local
BUCKET_NAME = "bamboo-assets"
REGION_NAME = "ca-central-1"
DOWNLOAD_DIR = "downloads"
os.makedirs(DOWNLOAD_DIR, exist_ok=True)


s3 = boto3.client("s3", region_name=REGION_NAME, config=Config(signature_version=UNSIGNED))

# Función para listar contenido
def list_bucket(bucket_name, prefix=""):
    print(f"\nContenido de: s3://{bucket_name}/{prefix}")
    response = s3.list_objects_v2(Bucket=bucket_name, Prefix=prefix)
    if "Contents" in response:
        for obj in response["Contents"]:
            print(f"- {obj['Key']}")
        return [obj['Key'] for obj in response["Contents"]]
    else:
        print("No se encontraron archivos.")
        return []


def download_file(bucket_name, key, download_dir=DOWNLOAD_DIR):
    local_path = os.path.join(download_dir, os.path.basename(key))
    s3.download_file(bucket_name, key, local_path)
    print(f"Archivo descargado: {local_path}")


if __name__ == "__main__":
    keys = list_bucket(BUCKET_NAME)
    upload_keys = list_bucket(BUCKET_NAME, prefix="uploads/")
    for key in upload_keys:
        download_file(BUCKET_NAME, key)