Bucketloot是一种自动化的S3兼容桶检查器，可以通过扫描将数据存储在Plain-Text中的文件，可以帮助用户提取资产，标志秘密曝光，甚至搜索自定义关键字以及来自公共暴露的存储存储桶中的正则表达式。
该工具可以扫描在Amazon Web服务（AWS），Google Cloud Storage（GCS），DigitalOcean Spaces甚至可以连接到这些平台的自定义域/URL上部署的存储桶。它以JSON格式返回输出，从而使用户可以根据自己的喜好或将其转发到任何其他工具进行进一步处理。
Bucketloot默认情况下具有访客模式，这意味着用户最初不需要指定任何API令牌/访问密钥即可运行扫描。该工具最多将刮擦XML响应中返回的1000个文件，如果存储存储桶包含1000多个条目，则用户希望在上运行扫描仪，则可以提供平台凭据来运行完整的扫描。如果您想了解有关该工具的更多信息，请确保查看我们的博客。
Features
Secret Scanning
扫描超过80多种独特的正则信号，可以帮助发现秘密暴露于错误配置的储物桶中，这些秘密暴露量被标记为其严重性。用户可以在Regexes.json文件中修改或添加自己的签名。如果您认为自己有任何很酷的签名，可能对他人也有帮助，并且可能会大规模标记，请继续进行公关！
Sensitive File Checks
意外敏感的文件泄漏是影响个人和组织安全姿势的一个大问题。 Bucketloot在Vulnfiles中带有80+唯一的正则签名列表。JSON允许用户根据文件名或扩展名来标记这些敏感文件。
Dig Mode
是否想快速检查是否有任何目标网站使用泄漏秘密或任何其他敏感数据的错误配置的存储桶？ DIG模式使您可以通过非S3目标，并让工具从响应主体中刮擦URL进行扫描。
Asset Extraction
有兴趣加强您的资产发现游戏吗？ Bucketloot提取可能存在于裸露的储物桶中的所有URL/子域和域，从而使您有机会发现隐藏的端点，从而使您比其他传统的侦察工具具有优势。
Searching
该工具通过让用户搜索自定义关键字甚至正则表达式查询，而不仅仅是资产发现和秘密曝光扫描，这可能有助于他们完全找到所需的内容。
Acknowledgements
Black Hat USA 2023 [Arsenal] Black Hat MEA 2023 [Arsenal] Black Hat EU 2023 [Arsenal]要了解我们的攻击表面管理平台的更多信息，请查看NVADR。
