云安全——对象存储安全

基本概念：

---

不同的厂商对对象存储的叫法不同：

云厂商	对象存储名
阿里云	OSS
腾讯云	COS
华为云	OBS
谷歌云	GCS
微软云	Blob
亚马逊云	S3

——Bucket：

---

存储空间（Bucket）是用户用于存储对象（Object）的容器，所有的对象都必须隶属于某个存储空间。存储空间具有各种配置属性，包括地域、访问权限、存储类型等。用户可以根据实际需求，创建不同类型的存储空间来存储不同的数据。

• 每个用户可以拥有多个存储空间。
• 存储空间的名称在 OSS 范围内必须是全局唯一的，一旦创建之后无法修改名称。
• 存储空间内部的对象数目没有限制。

——Object：

---

对象（Object）是 OSS 存储数据的基本单元，也被称为 OSS 的文件。和传统的文件系统不同，对象没有文件目录层级结构的关系。对象由元信息（Object Meta）、用户数据（Data）和文件名（Key）组成，并且由存储空间内部唯一的 Key 来标识。

元信息是一组键值对，表示了对象的一些属性，比如最后修改时间、大小等信息，同时用户也可以在元信息中存储一些自定义的信息。Data就是存储的数据本体。Key是指存储桶中的唯一标识符。

——Region（地域）：

---

Region表示OSS的数据中心所在物理位置。用户可以根据费用、请求来源等选择合适的地域创建Bucket。一般来说，距离用户更近的Region访问速度更快。Region是在创建Bucket的时候指定的，一旦指定之后就不允许更改。该Bucket下所有的Object都存储在对应的数据中心，目前不支持Object级别的Region设置。

——Endpoint（访问域名）：

---

Endpoint表示OSS对外服务的访问域名。当访问不同的Region的时候，需要不同的域名。通过内网和外网访问同一个Region所需要的Endpoint也是不同的。例如杭州Region的外网Endpoint：http://oss-cn-hangzhou.aliyuncs.com，而内网Endpoint：http://oss-cn-hangzhou-internal.aliyuncs.com

访问权限设置不当：

---

存储空间的访问权限（ACL）有以下三类：

访问权限	描述
私有	只有Bucket的拥有者可以对该Bucket内的文件进行读写操作，其他人无法访问该Bucket内的文件。
公共读	存储空间的拥有者和授权用户有该存储空间内的文件的读写权限，其他用户只有该存储空间内的文件的读权限。
公共读写	所有用户都有该存储空间内的文件的读写权限。

0x01 任意文件上传：

---

1、创建一个私有的Bucket：

点击刚刚创建的Bucket，上传一个文件测试：

2、上传成功后，可在文件列表中进行查看。点击详情即可查看文件访问链接地址：

当我们访问文件地址的时候，此时就会出现拒绝访问：

3、当我们将Bucket设置成公共读的时候，即浏览器就可以直接读取文件内容：

4、当我们将Bucket设置成公共读写的时候，此时可通过PUT方法上传任意文件：

0x02 文件遍历：

---

OSS存储里面有种类似列目录的漏洞，会显示当前存储下所有的文件存储路径。在创建Bucket桶时，默认是private的权限，如果在错误的配置下，给了ListObject权限，就会导致可遍历存储桶。

此时访问域名，就会发现所有文件列表：

综上，权限配置错误一般有以下三种风险：

• 公共读或公共读写：可完整访问但不显示完整结构
• 权限Bucket授权策略：设置ListObject显示完整结构
• 权限Bucket读写权限：公共读写直接PUT文件任意上传

0x03 域名解析Bucket接管：

---

正常情况下OSS存储是不解析存储的文件的，比如上传一个html文件，访问是直接下载，而非展示出html文件解析后的页面。当Bucket配置域名绑定后，直接访问域名，即可解析html文件。

这样设置本身是没有漏洞的，但如果用户设置了域名绑定，但后来由于某种原因将OSS存储中的Bucket删除了，域名绑定没有删除，这时访问域名就会出现NoSuchBucket。因此可以登录自己的阿里云账号，创建同样的 Bucket 从而实现网站接管。

0x04 AccessKey，SecretAccessKey泄漏：

---

访问密钥AccessKey（简称AK）是阿里云提供给阿里云用户的永久访问密钥，用于通过开发工具（API、CLI、SDK、Cloud Shell、Terraform等）访问阿里云时的身份验证，不用于控制台登录。获取到这些信息后，是可以用官方工具或者网上别人开发的利用工具接管OSS存储的。

厂商	Access Key	Secret
亚马逊云计算服务 (Amazon Web Services, AWS)	^AKIA[A-Za-z0-9]{16}$	40个随机的大小写字母组成的字符
Google Cloud Platform (GCP)	^GOOG[\w\W]{10,30}$
Microsoft Azure	^AZ[A-Za-z0-9]{34,40}$(36个字符)	44个字符
IBM Cloud	^IBM[A-Za-z0-9]{10,40}$
Oracle Cloud	^OCID[A-Za-z0-9]{10,40}$
阿里云	^LTAI[A-Za-z0-9]{12,20}$(16-24个字符)	30个字符
腾讯云	^AKID[A-Za-z0-9]{13,20}$(17个字符)	40个字符
华为云	^AK[\w\W]{10,62}$(64个字符)	44个字符
百度云	^AK[A-Za-z0-9]{10,40}$
京东云	^AK[A-Za-z0-9]{10,40}$
UCloud	^UC[A-Za-z0-9]{10,40}$
青云	^QY[A-Za-z0-9]{10,40}$
金山云	^KS3[A-Za-z0-9]{10,40}$
联通云	^LTC[A-Za-z0-9]{10,60}$
移动云	^YD[A-Za-z0-9]{10,60}$
电信云	^CTC[A-Za-z0-9]{10,60}$

此时我们可以利用去官网上查找利用工具或者第三方开发的工具如oss-browser进行进一步利用。

0x05 不安全的 Bucket 策略配置：

---

如果管理员设置了某些 IP，UA 才可以请求该存储桶的话，此时如果错误的配置了 GetBucketPolicy，可导致攻击者获取策略配置

通过直接访问：http(s)://url/?policy 来确定是否对 Bucket 具有读取权限

另外如果我们拥有PutBucketPolicy权限，我们可以直接修改策略，比如原本Effect中设置为Deny，我们只需要将它更改为Allow即可。

当设置Becket授权策略如下图所示，不具有ListObjects权限、但具有PutBucketPolicy权限

此时访问结果如下：

我们直接使用PUT方法上传修改BucketPolicy

PUT /?policy HTTP/1.1
Host: dapaozhang1.oss-cn-beijing.aliyuncs.com
Pragma: no-cache
Cache-Control: no-cache
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Priority: u=0, i
Connection: keep-alive
Content-Length: 544

{"Version":"1","Statement":[{"Effect":"Deny","Action":["oss:ListObjects","oss:GetObject"],"Principal":["*"],"Resource":["acs:oss:*:1227685127112444:dapaozhang1/*"]},{"Effect":"Allow","Action":["oss:ListObjects","oss:GetObject"],"Principal":["*"],"Resource":["acs:oss:*:1227685127112444:dapaozhang1"],"Condition":{"StringLike":{"oss:Prefix":["*"]}}},{"Effect":"Allow","Action":["oss:GetBucketPolicy","oss:PutBucketPolicy"],"Principal":["*"],"Resource":["acs:oss:*:1227685127112444:dapaozhang1"],"Condition":{"StringLike":{"oss:Prefix":["*"]}}}]}

再次访问我们就可以正常看到存储桶中的对象了：

除了将原本的Deny策略修改为Allow以外，我们也可以反过来，这样就会导致某些网站获取oss上的资源文件失效，从而影响网站的正常运行。

参考如下：

---

对象存储攻防案例 - Geekby's Blog
【云安全攻防1】对象存储安全图文+实战案例详解
【云安全】阿里云 OSS对象存储攻防