文章总结： 本文介绍了一款开源的云安全漏洞挖掘工具集cloud-vuln-skill，支持S3存储桶爆破、IMDS元数据探测、K8s未授权访问检测、容器逃逸条件筛查及AK/SK凭据验证与权限枚举等功能。工具遵循只读探测原则，无破坏性操作，适用于云资产风险巡检与实战攻防演练。文章后半部分包含大量内部VIP知识星球的推广内容，属于软文广告。 综合评分： 57 文章分类： 云安全,渗透测试,红队,安全工具,软文广告
云安全漏洞挖掘SKILL、一站式云漏洞挖掘工具，支持S3爆破、IMDS探测、K8s检测与AK/SK权限利用
mouren101 mouren101
渗透安全HackTwo
2026年7月28日 00:00 广东
在小说阅读器读本章
去阅读
0x01 工具介绍
cloud-vuln-skill 是一款轻量化、开源的云安全漏洞挖掘工具集，专为红队渗透与合规安全测试打造。工具无需复杂部署，可自动化完成S3存储桶爆破、云IMDS元数据探测、K8s未授权检测、容器逃逸风险筛查等核心操作。同时支持AK/SK凭据验证、权限枚举与提权路径分析，全程遵循只读探测原则，无破坏性操作，高效覆盖主流公有云漏洞攻击面，适配日常云资产风险巡检与实战攻防演练。
注意：现在只对常读和星标的公众号才展示大图推送，建议大家把渗透安全HackTwo“设为星标⭐️“否则可能就看不到了啦！
下载地址在末尾 #渗透安全HackTwo
0x02 功能介绍
✨核心特点
brute-s3 — S3 桶名爆破
python scripts/cloud_scanner.py brute-s3 --keyword <关键词> [--threads 20] [--delay 0.1] [--format table|json]
将关键词与 70+ 常见后缀（-prod、-dev、-backup、-terraform、-secrets 等）拼接，向 AWS 全球端点和区域端点并发 HTTP HEAD 请求。
| 状态码 | 含义 | | — | — | | 200 | 公开桶（可列目录） | | 403 | 存在但非公开 | | 404/DNS 失败 | 不存在 |
参数：
--keyword：公司名/关键词（必填）--threads：并发线程数（默认 15）--delay：请求间隔秒数（默认 0.05，增大可避免云端限流）--format：json（默认）或table
check-bucket — 单桶公开状态检查
python scripts/cloud_scanner.py check-bucket --name <桶名> [--region us-east-1]
三项检测：
- 公开可列 — GET 桶根路径，200 且响应含
<Key>即为可列目录 - 公开可写 — PUT 测试文件，200 即为可写（测试后自动清理）
- 公开可读 — HEAD 常见文件名
scan-bucket — 公开桶敏感文件扫描
python scripts/cloud_scanner.py scan-bucket --url <桶URL> [--max-files 100] [--threads 10]
两级匹配机制：
第一级（文件名匹配） — 13 类敏感文件，不需要下载： .env、terraform.tfstate、credentials、id_rsa、*.sql、*.dump、config.yml、secret.yaml、Dockerfile、.git/config、*.pem、*.zip、.bash_history
第二级（内容关键词） — 仅下载 ≤10KB 的文件头部搜索： AKIA、ASIA、BEGIN RSA PRIVATE KEY、DB_PASSWORD=、AWS_ACCESS_KEY_ID=、connectionString、Bearer、CREATE TABLE
桶不可列时自动切换爆破模式，用 30 个常见文件名逐个探测。
probe-ssrf — SSRF → IMDS 凭证窃取探测
python scripts/cloud_scanner.py probe-ssrf --target <URL> --param <参数名>
向目标 URL 的参数注入云元数据服务地址，检测响应中是否含云凭证关键词。
注入的 Payload：
| # | Payload | 目标 |
| — | — | — |
| 1 | http://169.254.169.254/latest/meta-data/ | AWS IMDSv1 |
| 2 | http://169.254.169.254/latest/meta-data/iam/security-credentials/ | AWS IAM Role 名 |
| 3 | http://169.254.169.254/metadata/instance?api-version=2021-02-01 | Azure IMDS |
| 4 | http://metadata.google.internal/computeMetadata/v1/ | GCP |
| 5 | http://100.100.100.200/latest/meta-data/ | 阿里云 |
| 6 | http://[::ffff:a9fe:a9fe]/latest/meta-data/ | AWS IPv6 映射绕过 |
probe-k8s — K8s 未授权访问探测
python scripts/cloud_scanner.py probe-k8s --node <IP>
扫描 7 个高危端口：
| 端口 | 服务 | 探测路径 |
| — | — | — |
| 6443 | K8s API (TLS) | /api/v1/pods``/api/v1/secrets``/version |
| 8080 | K8s API (Plain) | 同上 |
| 10250 | Kubelet | /pods``/runningpods/ |
| 10255 | Kubelet RO | /pods |
| 2379 | etcd | /version``/v2/keys |
| 4194 | cAdvisor | /containers |
| 10256 | kube-proxy | /healthz |
container-escape — 容器逃逸条件检测
# 在容器/Pod 内运行python scripts/cloud_scanner.py container-escape
11 项自动检测：
| 检测 | 危险度 | 逃逸方法 |
| — | — | — |
| /var/run/docker.sock 挂载 | 🔴 | docker run -v /:/host alpine chroot /host |
| Privileged 模式 | 🔴 | nsenter --target 1 --mount --pid -- bash |
| CAP_SYS_ADMIN | 🔴 | cgroup release_agent 逃逸 |
| CAP_SYS_PTRACE | 🔴 | 宿主机进程注入 |
| hostPID | 🔴 | nsenter -t 1 |
| hostPath 挂载 | 🔴 | 直接读写宿主机文件 |
| K8s SA Token | 🟠 | 调 API Server 操作资源 |
| IMDS 可达 | 🟠 | 获取云 IAM 凭证 |
| Containerd Socket | 🟠 | ctr 命令控制容器 |
仅检测不利用，不会尝试实际逃逸。
exploit-creds — AK/SK 验证与权限枚举
python scripts/cloud_scanner.py exploit-creds --ak <AccessKey> --sk <SecretKey> [--token <SessionToken>] [-o result.json]
一条命令完成五步：
- 身份验证 —
sts:GetCallerIdentity→ Account ID、ARN - IAM 信息收集 — 附加策略、Inline Policy、所属组、MFA 状态
- 高危权限探测 — 真实验证 23 个 API（读操作直接调用，写操作使用安全假参数/DryRun 探测，不产生副作用）
- 提权路径分析 — 匹配 10 种危险权限组合
- S3 桶枚举 — 列出桶 + 检查 Block Public Access + 加密状态
高危权限探测覆盖：
| 类别 | 探测命令 | 验证方式 |
| — | — | — |
| 直接提权 | iam:CreatePolicyVersion | 假策略 ARN 探测 |
| 直接提权 | iam:AttachUserPolicy | 不存在的用户名探测 |
| 后门 | iam:CreateUser + iam:CreateAccessKey | 不存在用户名探测 |
| EC2 | ec2:RunInstances | DryRun 模式（安全） |
| Lambda | lambda:UpdateFunctionCode | 不存在函数名 + 空 zip |
| S3 | s3:PutBucketPolicy | 不存在桶名探测 |
| 反取证 | cloudtrail:StopLogging | 直接调用（会失败但不产生效果） |
0x03 更新介绍
增加其他厂商存储桶利用
0x04 使用介绍
📦安装与使用指南
cd cloud-vuln-skillpip install -r requirements.txt
基本用法
# === 信息收集（无需云凭证）===# S3 桶名爆破python scripts/cloud_scanner.py brute-s3 --keyword company-name# 单桶公开状态检查python scripts/cloud_scanner.py check-bucket --name company-prod# 公开桶敏感文件扫描python scripts/cloud_scanner.py scan-bucket --url https://bucket-name.s3.amazonaws.com# SSRF → IMDS 凭证窃取探测python scripts/cloud_scanner.py probe-ssrf --target https://target.com/api --param url# K8s 节点未授权访问探测python scripts/cloud_scanner.py probe-k8s --node 10.0.0.1# 容器逃逸条件检测（在容器/Pod 内运行）python scripts/cloud_scanner.py container-escape# === 凭据利用（拿到 AK/SK 后）===python scripts/cloud_scanner.py exploit-creds --ak AKIAXXXXXX --sk xxxxxxxxxxxx
0x05 内部VIP星球介绍-V1.5（福利）
如果你想学习更多渗透测试技术/应急溯源/免杀工具/挖洞SRC赚取漏洞赏金/红队打点等欢迎加入我们内部星球可获得内部工具字典和享受内部资源和内部交流群，每天更新1day/0day漏洞刷分上分(2026POC更新至12922+)，包含全网一些付费扫描工具及内部原创的Burp自动化漏洞探测插件/漏扫工具等，AI代审工具，最新挖洞技巧等。shadon/Hunter/0zone/Zoomeye/Quake/Fofa高级会员/AI账号/CTFShow等各种账号会员共享。详情点击下方链接了解，觉得价格高的师傅后台回复” 星球 “有优惠券名额有限先到先得❗️啥都有❗️全网资源最新最丰富❗️**（🤙截止目前已有3000+多位师傅选择加入❗️早加入早享受）
最新漏洞情报分享：https://t.zsxq.com/DSAvv
👉点击了解加入–>>内部VIP知识星球福利介绍V1.5版本-1day/0day漏洞库及内部资源更新
结尾
免责声明
获取方法
公众号回复20260728获取下载、回复 加群 获取交流群
最后必看-免责声明
文章中的案例或工具仅面向合法授权的企业安全建设行为，如您需要测试内容的可用性，请自行搭建靶机环境，勿用于非法行为。如用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击和漏洞利用。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。如您在使用本工具或阅读文章的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。本工具或文章或来源于网络，若有侵权请联系作者删除，请在24小时内删除，请勿用于商业行为，自行查验是否具有后门，切勿相信软件内的广告！
往期推荐
1.内部VIP知识星球福利介绍V1.5（AI自动化）
2.CS4.8-CobaltStrike4.8汉化+插件版
3.全新升级BurpSuite2026.4专业(稳定版)
4.最新xray1.9.11高级版下载Windows/Linux
5.最新HCL AppScan Standard
渗透安全HackTwo
微信号：关注公众号获取
后台回复星球加入：知识星球
扫码关注 了解更多
上一篇文章：Nacos配置文件攻防思路总结|揭秘Nacos被低估的攻击面
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：渗透安全HackTwo mouren101 mouren101《云安全漏洞挖掘SKILL、一站式云漏洞挖掘工具，支持S3爆破、IMDS探测、K8s检测与AK/SK权限利用》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论