用途
本技能用于对 Microsoft Azure、Amazon Web Services（AWS）和 Google Cloud Platform（GCP）的云基础设施开展全面的安全评估。它面向获得授权的安全测试、防御性验证或受控教学环境。
授权与强制确认
仅限授权使用：本技能仅用于授权的安全评估、防御性验证或受控教学环境。使用本工具前必须获得系统所有者明确的书面许可，滥用属于违法且严格禁止。
强制确认门槛：在运行任何探测、利用、更改、持久化、从目标提取数据或尝试凭据访问的命令之前：
- 要求用户说明确切的目标 URL、IP、账户或资源。
- 要求用户确认书面授权和允许的范围。
- 展示确切的命令并解释其预期效果。
- 在当前对话中等待明确确认。
没有上述确认，则保持只读，仅提供防御性指导。建议优先使用沙箱、一次性虚拟机或受控实验环境。
主要能力
技能覆盖多云环境（Azure、AWS、GCP）的安全评估，包括身份与访问管理（IAM）相关测试、API 认证机制分析、凭据访问尝试、枚举、数据提取及利用等。文档说明在执行前应先阅读详细指南，指南保留完整流程和参考材料，其安全、前置条件和验证要求为强制要求；可针对专项工作加载相关章节，端到端工作则需完整阅读。
所需工具
Azure 工具：
Install-Module -Name Az -AllowClobber -Force
Install-Module -Name MSOnline -Force
Install-Module -Name AzureAD -Force
AWS CLI：
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install
GCP CLI：
tmpdir="$(mktemp -d)"
trap 'rm -rf "$tmpdir"' EXIT
curl -fsSLo "$tmpdir/google-cloud-sdk-install.sh" https://sdk.cloud.google.com
cat "$tmpdir/google-cloud-sdk-install.sh" # review the full installer before executing
bash "$tmpdir/google-cloud-sdk-install.sh"
gcloud init
附加工具：
pip install scoutsuite pacu
所需知识
- 云架构基础
- 身份与访问管理（IAM）
- API 认证机制
- DevOps 与自动化概念
所需访问权限
- 书面授权进行测试
- 测试凭据或访问令牌
- 已定义的范围与交战规则
限制与约束
法律要求：
- 仅在获得明确书面授权的情况下测试
- 遵守云账户之间的范围边界
- 不得访问生产客户数据
- 记录所有测试活动
技术限制：
- MFA 可能阻止基于凭据的攻击
- 条件访问策略可能限制访问
- CloudTrail/活动日志会记录所有 API 调用
- 某些资源需要特定区域访问权限
检测注意事项：
- 云服务提供商会记录所有 API 活动
- 异常访问模式会触发告警
- 使用缓慢、审慎的枚举
- 考虑 GuardDuty、Security Center、Cloud Armor
示例场景
示例 1：Azure 密码喷洒（测试 Azure AD 密码策略）。文档给出使用 MSOLSpray 配合 FireProx 进行 IP 轮换的命令，包括创建 FireProx 端点和执行 Invoke-MSOLSpray 的用户列表、密码及网关 URL 参数示例。
示例 2：AWS S3 存储桶枚举（查找并访问配置错误的 S3 存储桶）。文档给出列出所有存储桶、逐个检查内容并同步下载可疑存储桶的命令示例。
示例 3：GCP 服务账号利用（使用被泄露的服务账号进行横向移动）。文档给出使用服务账号密钥认证、列出项目、枚举计算实例、检查元数据中的 SSH 密钥以及 SSH 登录实例的命令示例。
使用时机
本技能适用于执行概述中描述的工作流程或操作。
未提供信息
关于价格、收费模式、支持的云平台具体版本、性能指标等，资料中暂未提供。