GitHub に AWS キーペアを上げると抜かれるってほんと？？？試してみよー！ - Qiita

🤔 前書き 稀によくある 、AWS を不正利用されちゃう話、 AWSで不正利用され80000ドルの請求が来た話 - Qiita 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita AWSが不正利用され300万円の請求が届いてから免除までの一部始終 - Qiita ブコメ等で GitHub にはアクセスキーを検索するBOTが常に動いていて、公開するとすぐに抜かれて不正利用される 的なコメントがつくのを何度か目にしたのですが、 本当にそんな BOT が動いているの？ どのくらいの時間でキーを抜かれて、不正利用が始まるの？ というのが気になったので、検証してみました。 GitHub にそれっぽいパブリックリポジトリを作成、権限が一つもついてない AWS のアクセスキー＆シークレットアクセスキーをうっかり公開、外部から利用されるまでの時間を計測します。

[gfx]

13分で不正利用され58分でawsから警告されたとのこと。すごい世界だ。

[skycrawler333]

AWS親切だ。

[bungoume]

SlackもAPIKeyをGitHubに上げると15分ぐらいで無効通知くる。発行鍵のprefixを検索可能な形にして流出チェックするのは今どきのベストプラクティスなのかも。

[naglfar]

「技術的には可能だけどやらないだろ」と思ってサボるのは止めましょう、だね。

[luvsik]

ガシガシクローラ回せるクラッカーが強いのはそらそうよね　検証ありがたや～　こういう企画YouTubeLiveでやると人集まりそう

[misomico]

一昔前のインターネットに裸のサーバをつないだみたいな感じ

[youichirou]

5位(笑)。 / しかし、トップバッター13分とはすごいな。

[koogawa]

「カナダの方、一着おめでとうございまーす」オリンピックかよw

[khtokage]

おお、いい実験だ。面白…参考になります！

[tis8347]

AWSから警告来るのか。この手のうっかりがよっぽど多いんだろうな

[sonots]

:eyes:

[JULY]

こんなおもしろい記事を、3年以上も見逃していたことが悔しいｗ

[ikeike443]

みんなこれを見てgit-sectetsが必要とか言ってるのか。。今はGitHubがSecret Scanningしてくれてるし検出もかなり速くなってるからほとんどの場合大丈夫なはず。

[anoncom]

AWS側もできる対策を行っているんだなぁ

[bulldra]

ここまで一般化してるのか

[aroma_black]

“GitHubをクロールしているのは悪意のある BOT だけではなく、AWS 自身も監視の目を光らせていたのです”

[sayamatcher]

“みなさん、必ず awslabs/git-secrets を使って間違いコミットを防止しましょう。人間はミスをするものです”

[chocopie116]

いい話。cloudtrailってdenyのログでるのか

[masaru_b_cl]

“5位 58分 AWSの方”

[tmatsuu]

すばらしい。しかしbotはどうやって見つけてくるんだろ。全リポジトリ横断で最新commitを取得できるAPIか何かがあるんだろうか。

[teracy_junk]

『実は AWS も GitHub をクロールしているのだった！！ちょう親切！！』

[stealthinu]

GitHubにキーペア間違って上げてしまうと速攻で悪用される。かつAWS側も監視してる。はー、イヤな世の中だ。

[igrep]

ありがたい実験記録

[Journey]

逆に餌を用意してホイホイを作ることも可能というわけか？

[Gesaku_G]

13分て。

[FTTH]

知見だ……（ガチなやつ）

[Dai_Kamijo]

1100いいね！ | GitHub に AWS キーペアを上げると抜かれるってほんと？？？試してみよー！ — Qiita (キータ) 公式 (@Qiita) February 27, 2018 from Twitter https://twitter.com/Dai_Kamijo February 27, 2018 at 07:42PM via IFTTT

[tbpg]

"本当だった。めっちゃはやい。git push から 13分 でご利用開始でした。ギフハブこわいから気をつけて！"

[soratokimitonoaidani]

やべぇ……

[tanakh]

勉強になる(´･_･`)

[nekoruri]

良いハニーポットだ

[toritori0318]

良い話

[haneuma0628]

いい検証だった

[junjun777]

実際にやってるのが面白い。／接続元IPがカナダなだけで、踏み台の可能性の方が高いよね。

[suika3417]

どっちも頑張りすぎィ！

[digo]

“ギフハブこわい”

[aquarickn]

クローラの正しいかつ不正な使い方の例

[keygen_Monica]

面白い露出プレイだなあ(白目)

[mas-higa]

タイトル見たら知恵袋なのって感じだったけど、超ためになるエントリでした。失礼しました。

[tailtame]

13分…1着ｗ　AWS側も監視してるのか。日本人のレポだけでも結構あるみたいだし警告する方が安いんだろうなぁ。