AWS CLI - S3 Bucket Investigation
S3 の設定をオフラインでエクスポートした監査記録が `/challenge/s3_audit/` にあります（`buckets.json` と、バケットごとの `*_publicaccessblock.json`・`*_policy.json`・`*_acl.json`・`*_objects.json`）。機密オブジェクト（`backups/prod.env` または `credentials/service-account.json`）を持つバケットは多数あり、どの `object_preview` にもフラグの形をした値があります。フラグは、本当に世界中に公開されているただ1つのバケットの機密オブジェクトにある値です。その条件は、(1) PublicAccessBlock の4設定がすべて false で、(2) ポリシーに `Effect: Allow`・`Principal: "*"`・`Action` に `s3:GetObject` を含み・`Resource` に `arn:aws:s3:::<バケット名>/*` を含み・`Condition` が無い statement があることです。ほかのバケットは、このどれか1つだけを外したおとりです。
まず *_publicaccessblock.json の4設定がすべて false のバケットに絞ります。1つでも true ならブロックされます
残ったバケットの *_policy.json を調べます。Policy は JSON 文字列なので jq の fromjson で展開し、statement ごとに Effect・Principal・Action・Resource・Condition を確かめます
Action と Resource は文字列のことも配列のこともあります（[.Action] | flatten で揃えられます）。site-assets/* だけ、バケットARNだけ、別アカウントの Principal、Condition 付きは公開ではありません。条件を満たすバケットの *_objects.json の object_preview にフラグがあります
