搜索

[13079] 2018-08-18_如何绕过并利用Bucket的上传策略和URL签名

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2018-08-18_如何绕过并利用Bucket的上传策略和URL签名 如 何 绕 过 并 利 用 B u c k e t 的 上 传 策 略 和 U R L 签 名 H y d r a l a b   F r e e B u f   2 0 1 8 - 0 8 - 1 8 简 介 简 介 B u c k e t 上 传 策 略 是 一 种 直 接 从 客 户 端 向 上 传 策 略 是 一 种 直 接 从 客 户 端 向 B u c k e t （ 存 储 空 间 ） 上 传 数 据 的 便 捷 方 式 。 通 过 上 传 策 略 中 的 规 则 以 及 （ 存 储 空 间 ） 上 传 数 据 的 便 捷 方 式 。 通 过 上 传 策 略 中 的 规 则 以 及 与 访 问 某 些 文 件 的 相 关 逻 辑 ， 我 们 将 展 示 如 何 拿 到 完 整 的 与 访 问 某 些 文 件 的 相 关 逻 辑 ， 我 们 将 展 示 如 何 拿 到 完 整 的 B u c k e t 对 象 列 表 ， 同 时 能 够 修 改 或 删 除 对 象 列 表 ， 同 时 能 够 修 改 或 删 除 B u c k e t 中 的 现 中 的 现 有 文 件 。 有 文 件 。 什 么 是 什 么 是 B u c k e t 策 略 策 略 （ 如 果 你 早 已 经 知 道 了 什 么 是 B u c k e t 策 略 和 U R L 签 名 ， 那 么 你 完 全 可 以 直 接 跳 转 到 下 面 的 “ 利 用 ” 部 分 ） B u c k e t 策 略 是 一 种 将 内 容 直 接 上 传 到 基 于 云 端 的 大 型 存 储 区 （ 如 G o o g l e 云 端 存 储 或 A W S   S 3 ） 的 安 全 方 式 。 我 们 的 想 法 是 创 建 一 个 定 义 有 检 验 是 否 允 许 文 件 上 传 的 策 略 ， 随 后 使 用 密 钥 对 策 略 进 行 签 名 ， 并 将 策 略 和 签 名 提 交 给 客 户 端 。 然 后 ， 客 户 端 可 以 直 接 将 文 件 上 传 到 B u c k e t ， B u c k e t 存 储 会 验 证 上 传 的 内 容 和 策 略 是 否 匹 配 。 如 果 匹 配 ， 则 上 传 文 件 。 上 传 策 略 与 上 传 策 略 与 U R L 预 签 名 预 签 名 在 开 始 之 前 ， 我 们 需 要 明 确 指 出 有 多 种 方 法 可 以 访 问 B u c k e t 中 的 对 象 。 使 用 P O S T 请 求 访 问 B u c k e t 时 ， P O S T 策 略 （ A W S ） 和 P O S T 对 象   （ 谷 歌 云 存 储 ） 方 式 只 允 许 上 传 内 容 。 另 一 种 称 为 U R L 预 签 名 （ A W S ） 或 U R L 签 名 （ G o o g l e 云 端 存 储 ） 的 方 式 就 不 仅 仅 是 可 以 修 改 对 象 。 我 们 是 否 可 以 P U T 、 D E L E T E 或 G E T   默 认 的 私 有 对 象 ， 这 取 决 于 预 签 名 逻 辑 定 义 的 H T T P 方 式 。 在 定 义 内 容 类 型 （ C o n t e n t - T y p e ） 、 访 问 控 制 和 文 件 上 传 时 ， U R L 预 签 名 与 P O S T 策 略 相 比 会 相 对 宽 松 。 使 用 错 误 的 自 定 义 逻 辑 也 会 更 频 繁 地 执 行 U R L 签 名 ， 如 下 所 示 。 这 里 有 很 多 允 许 某 人 访 问 上 传 内 容 的 方 法 ， 其 中 一 个 是 A s s u m e R o l e W i t h W e b I d e n t i t y   ， 类 似 于 P O S T 策 略 ， 区 别 在 于 你 可 以 获 得 由 预 定 义 的 I A M   R o l e （ 身 份 和 访 问 管 理 角 色 ） 创 建 的 临 时 安 全 凭 证 （ A S I A   * ） 。 如 何 发 现 上 传 策 略 或 如 何 发 现 上 传 策 略 或 U R L 签 名 签 名 这 是 使 用 P O S T 方 法 的 上 传 请 求 ， 如 下 所 示 ：
该 策 略 使 用 的 是 b a 6 4 编 码 的 J S O N ， 如 下 所 示 ： 在 A W S   S 3 上 的 类 似 于 下 面 的 U R L 签 名 ： h t t p s : / / b u c k e t - n a m e . s 3 . a m a z o n a w s . c o m / ? X - A m z - A l g o r i t h m = A W S 4 - H M A C - S H A 2 5 6 & X - A m z - C r e d e n t i a l = A K I A … 就 像 谷 歌 云 存 储 一 样 ： 上 传 策 略 的 利 用 上 传 策 略 的 利 用 如 果 我 们 想 要 发 现 策 略 中 的 错 误 ， 并 对 其 进 行 利 用 ， 那 么 我 们 需 要 定 义 一 些 不 同 的 属 性 ： l   A c c e s s   =   Y e s - 在 上 传 后 ， 我 们 是 否 可 以 以 某 种 方 式 访 问 该 文 件 。 在 策 略 中 A C L 是 否 被 定 义 为 p u b l i c - r e a d 或 者 能 够 接 收 上 传 文 件 的 U R L 预 签 名 。 在 策 略 中 上 传 但 未 定 义 A C L 的 对 象 默 认 为 私 有 。 l   I n l i n e = Y e s - 如 果 你 能 够 修 改 c o n t e n t - d i s p o s i t i o n 文 件 ， 那 么 我 们 可 以 在 内 联 中 提 供 内 容 。 如 果 策 略 中 根 本 没 有 定 义 ， 那 么 文 件 则 以 内 联 方 式 提 供 。 {   " e x p i r a t i o n " : " 2 0 1 8 - 0 7 - 3 1 T 1 3 : 5 5 : 5 0 Z " ,   " c o n d i t i o n s " :   [   { " b u c k e t " :   " b u c k e t - n a m e " } ,   [ " s t a r t s - w i t h " ,   " $ k e y " ,   " a c c 1 2 3 " ] ,   { " a c l " :   " p u b l i c - r e a d " } ,   { " s u c c e s s _ a c t i o n _ r e d i r e c t " : " h t t p s : / / d a s h b o a r d . e x a m p l e . c o m / " } ,   [ " s t a r t s - w i t h " ,   " $ C o n t e n t - T y p e " ,   " " ] ,   [ " c o n t e n t - l e n g t h - r a n g e " ,   0 ,   5 2 4 2 8 8 ]   ] } H T T P S   ： / / s t o r a g e . g o o g l e a p i s . c o m / u p l o a d s / i m a g e s / t e s t . p n g ? E x p i r e s = 1 5 1 5 1 9 8 3 8 2 & G o o g l e A c c e s s I d = e x a m p l e % 4 0 e x a m p l e . i a m . g s e r v i c e a c c o u n t . c o m & S i g n a t u r e = d l M A - - -
1 .   s t a r t s - w i t h   $ k e y 是 空 的 是 空 的 例 ： 可 以 上 传 文 件 到 B u c k e t 中 的 任 何 位 置 ， 覆 盖 任 何 对 象 。 你 可 以 将 k e y 属 性 设 置 为 任 何 内 容 ， 并 且 接 受 该 策 略 。 注 意 ： 在 某 些 情 况 下 ， 这 种 利 用 很 困 难 。 例 如 ， 只 有 一 个 B u c k e t 用 于 上 传 从 未 公 开 的 或 以 后 会 使 用 的 名 为 U U I D （ 通 用 唯 一 标 识 符 ） 的 对 象 。 在 这 种 情 况 下 ， 我 们 不 知 道 要 覆 盖 哪 些 文 件 ， 并 且 无 法 知 道 B u c k e t 中 其 他 对 象 的 名 称 。 2 .   s t a r t s - w i t h   $ k e y 不 包 含 路 径 分 隔 符 或 为 所 有 用 户 都 用 相 同 的 路 径 不 包 含 路 径 分 隔 符 或 为 所 有 用 户 都 用 相 同 的 路 径 例 ： 如 果 策 略 的   $ k e y 部 分 包 含 一 个 已 定 义 的 部 分 ， 但 是 没 有 路 径 分 隔 符 ， 我 们 可 以 将 内 容 直 接 放 在 B u c k e t 的 根 目 录 中 。 如 果   A c c e s s = Y e s 和   I n l i n e = Y e s ， 并 取 决 于 c o n t e n t - t y p e 的 类 型 （ 参 见 ＃ 3 和 ＃ 4 ） ， 我 们 则 可 以 通 过 安 装 A p p C a c h e - m a n i f e s t 来 窃 取 其 他 用 户 上 传 的 U R L （ A p p C a c h e 中 的 相 关 漏 洞 是 由 我 和   @ a v l i d i e n b r u n n 以 及 @ f i l e d e s c r i p t o r 分 别 发 现 的 ） 。 如 果 上 传 对 象 的 路 径 对 所 有 用 户 都 是 相 同 的 ， 那 这 个 问 题 也 一 样 适 用 。 3 .   s t a r t s - w i t h   $ C o n t e n t - T y p e 为 空 为 空 例 ： 如 果 A c c e s s = Y e s   和 I n l i n e = Y e s ， 我 们 就 可 以 在 B u c k e t 域 上 传 t e x t / h t m l 并 提 供 此 服 务 ， 如 ＃ 2 所 示 ， 我 们 可 以 使 用 它 来 运 行 j a v a s c r i p t 或 在 此 路 径 上 安 装 A p p C a c h e - m a n i f e s t ， 这 意 味 着 在 此 路 径 下 访 问 的 所 有 文 件 都 将 泄 露 给 攻 击 者 。 4 . 使 用 使 用 s t a r t s - w i t h   $ C o n t e n t - T y p e 定 义 内 容 类 型 定 义 内 容 类 型 例 : 这 个 和 ＃ 3 一 样 ， 我 们 可 以 添 加 一 些 内 容 来 使 第 一 个 内 容 类 型 成 为 一 个 未 知 的 m i m e 类 型 ， 随 后 追 加 t e x t / h t m l ， 文 件 将 被 认 作 为 t e x t / h t m l 类 型 ： C o n t e n t - t y p e :   i m a g e / j p e g z ; t e x t / h t m l [ " s t a r t s - w i t h " ,   " $ k e y " , " " ] [ " s t a r t s - w i t h " ,   " $ k e y " , " a c c _ 1 3 2 2 3 4 2 m 3 4 2 3 " ] [ " s t a r t s - w i t h " , " $ C o n t e n t - T y p e " ,   " " ] [ " s t a r t s - w i t h " , " $ C o n t e n t - T y p e " ,   " i m a g e / j p e g " ]
此 外 ， 如 果 S 3 - B u c k e t 托 管 在 公 司 的 子 域 中 ， 通 过 利 用 上 述 策 略 ， 我 们 还 可 以 通 过 上 传 H T M L 文 件 在 域 上 运 行 j a v a s c r i p t 。 最 有 意 思 的 部 分 是 在 沙 盒 域 上 通 过 上 传 内 容 来 利 用 网 站 。 使 用 自 定 义 逻 辑 利 用 使 用 自 定 义 逻 辑 利 用 U R L 签 名 签 名 U R L 签 名 是 在 服 务 器 端 签 名 并 提 交 给 客 户 端 ， 以 允 许 它 们 上 传 、 修 改 或 访 问 内 容 。 最 常 见 的 问 题 是 网 站 构 建 自 定 义 逻 辑 来 检 索 它 们 。 首 先 ， 要 了 解 怎 么 利 用 已 签 名 的 U R L ， 重 要 的 是 要 知 道 在 默 认 情 况 下 ， 如 何 获 取 B u c k e t 根 目 录 下 已 签 名 的 且 可 以 显 示 B u c k e t 的 文 件 列 表 的 G E T - U R L 。 这 和 使 用 公 开 列 表 B u c k e t 的 情 况 基 本 相 同 ， 不 同 之 处 在 于 此 B u c k e t 肯 定 包 含 其 他 用 户 的 私 有 数 据 。 请 记 住 ， 当 我 们 知 道 B u c k e t 中 的 其 它 文 件 时 ， 我 们 也 可 以 为 它 们 请 求 U R L 签 名 ， 这 就 让 我 们 拥 有 了 访 问 私 密 文 件 的 权 限 。 因 此 ， 我 们 目 标 始 终 是 尝 试 获 根 目 录 或 已 知 的 另 一 个 文 件 。 错 误 的 自 定 义 逻 辑 的 示 例 错 误 的 自 定 义 逻 辑 的 示 例 以 下 是 一 些 示 例 ， 其 中 逻 辑 通 过 发 出 已 签 名 的 G E T - U R L 实 际 暴 露 了 B u c k e t 的 根 路 径 。 1 . 使 用 使 用 g e t - i m a g e 这 个 端 点 对 这 个 端 点 对 B u c k e t 进 行 完 全 可 读 访 问 进 行 完 全 可 读 访 问 有 以 下 要 求 ： h t t p s : / / f r e e h a n d . e x a m p l e . c o m / a p i / g e t - i m a g e ? k e y = a b c & d o c u m e n t = x y z 提 供 以 下 U R L 签 名 ： h t t p s : / / p r o d a p p . s 3 . a m a z o n a w s . c o m / d o c u m e n t s / 6 4 8 4 7 5 / i m a g e s / a b c ? X - A m z - A l g o r i t h m = A W S 4 - H M A C - S H A 2 5 6 … 但 是 ， 端 点 在 签 名 之 前 对 U R L 进 行 了 规 范 化 ， 因 此 通 过 遍 历 路 径 ， 我 们 实 际 上 可 以 指 向 B u c k e t 的 根 目 录 ： h t t p s : / / f r e e h a n d . e x a m p l e . c o m / a p i / g e t - i m a g e ? k e y = . . / . . / . . / & d o c u m e n t = x y z 结 果 ： h t t p s : / / p r o d a p p . s 3 . a m a z o n a w s . c o m / ? X - A m z - A l g o r i t h m = A W S 4 - H M A C - S H A 2 5 6 & X - A m z - C r e d e n t i a l = A K I A … 这 个 U R L 提 供 了 B u c k e t 中 全 部 文 件 的 列 表 。 2 . 因 正 则 表 达 式 解 析 因 正 则 表 达 式 解 析 U R L 签 名 请 求 ， 导 致 可 完 全 获 取 读 权 限 签 名 请 求 ， 导 致 可 完 全 获 取 读 权 限 这 是 另 外 一 个 示 例 ， 以 下 请 求 是 在 网 站 上 的 端 点 上 获 取 所 需 的 对 象 的 U R L 签 名 ： 它 会 解 析 U R L 并 将 其 部 分 附 加 到 U R L 签 名 ， 你 将 会 得 到 这 个 ： P O S T   / a p i / f i l e _ s e r v i c e / f i l e _ u p l o a d _ p o l i c i e s / s 3 _ u r l _ s i g n a t u r e . j s o n H T T P / 1 . 1 H o s t :   s e c t e s t . e x a m p l e . c o m   { " u r l " : " h t t p s : / / e x a m p l e - b u c k e t . s 3 . a m a z o n a w s . c o m / d i r / f i l e . p n g " }
可 以 使 用 s 3 . a m a z o n a w s . c o m 上 的 子 域 和 路 径 访 问 S 3 - b u c k e t 。 在 这 种 情 况 下 ， 服 务 器 端 逻 辑 规 则 会 将 U R L 更 改 为 基 于 路 径 的 B u c k e t   U R L 。 通 过 欺 骗 U R L   e x t r a c t i o n ， 你 可 以 发 送 如 下 内 容 ： 它 会 返 回 一 个 U R L 签 名 ， 如 下 所 示 ： 此 U R L 将 显 示 B u c k e t 的 完 整 文 件 列 表 。 3 . 滥 用 临 时 的 滥 用 临 时 的 U R L 签 名 链 接 签 名 链 接 这 个 示 例 来 自 两 年 前 ， 是 我 发 现 的 第 一 个 和 U R L 签 名 有 关 的 问 题 。 在 网 站 上 ， 当 你 上 传 文 件 时 ， 你 首 先 在   s e c u r e . e x a m p l e . c o m 下 创 建 了 一 个 随 机 密 钥 ： 然 后 ， 你 会 返 回 ： 这 意 味 着 ， 以 下 的 U R L ： h t t p s : / / s e c u r e . e x a m p l e . c o m / f i l e s / a b c - 1 2 3 - d e f - 4 5 6 - g h i - 7 8 9 然 后 会 重 定 向 到 ： L o c a t i o n : h t t p s : / / e x a m p l e . s 3 . a m a z o n a w s . c o m / f i l e . j p g ? S i g n a t u r e = i 0 Y Z … 然 后 ， 可 以 发 送 以 下 的 s 3 _ k e y 内 容 ： 之 后 ， 会 有 以 下 U R L ： h t t p s : / / s e c u r e . e x a m p l e . c o m / f i l e s / x x 1 2 3 4 重 新 定 向 到 ： L o c a t i o n : h t t p s : / / e x a m p l e . s 3 . a m a z o n a w s . c o m / ? S i g n a t u r e = i 0 Y Z … 至 此 ， 我 现 在 就 拥 有 了 他 们 B u c k e t 的 文 件 列 表 。 该 网 站 使 用 一 个 B u c k e t 来 存 储 他 们 的 所 有 数 据 ， 包 含 他 们 拥 有 的 每 一 个 文 档 和 文 件 。 当 我 尝 试 提 取 文 件 列 表 时 ， 发 现 B u c k e t 非 常 庞 大 ， 文 件 数 量 可 以 用 百 万 来 计 算 。 因 此 我 直 接 将 这 个 漏 洞 通 报 给 了 该 公 司 ， 以 下 是 他 们 的 回 复 ： { " s i g n e d U r l " : " h t t p s : / / s 3 . a m a z o n a w s . c o m / e x a m p l e - b u c k e t / d i r / f i l e . p n g ? X - A m z - A l g o r i t h m = A W S 4 - H M A C . . . " } {   “ u r l ”   ： “ h t t p s ： / / . x . / e x a m p l e - b u c k e t ” } { " s i g n e d U R L " : " h t t p s : / / s 3 . a m a z o n a w s . c o m / / e x a m p l e - b e t a ? X - A m z - A l g o r i t h m = A W S 4 - H M A C . . . " } P O S T   / a p i / s 3 _ f i l e /   H T T P / 1 . 1 H o s t :   s e c u r e . e x a m p l e . c o m   { " i d " : n u l l , " r a n d o m _ k e y " : " a b c - 1 2 3 - d e f - 4 5 6 - g h i - 7 8 9 " , " s 3 _ k e y " : " / f i l e . j p g " , " u p l o a d e r _ i d " : 7 1 9 5 7 , " e m p l o y e e _ i d " : n u l l } H T T P / 1 . 1   2 0 1   C R E A T E D   { " e m p l o y e e _ i d " : n u l l , " s 3 _ k e y " :   " / f i l e . j p g " ,   " u p l o a d e r _ i d " :   7 1 9 5 7 , " r a n d o m _ k e y " : " a b c - 1 2 3 - d e f - 4 5 6 - g h i - 7 8 9 " ,   " i d " :   n u l l } " r a n d o m _ k e y " : " x x 1 2 3 4 " , " s 3 _ k e y " : " / "
建 议 建 议 应 根 据 每 个 文 件 上 传 请 求 或 至 少 对 每 个 用 户 生 成 一 个 对 应 的 上 传 策 略 。 l   $ k e y 应 该 有 完 整 的 定 义 ： 有 一 个 唯 一 的 、 随 机 的 名 称 以 及 随 机 的 路 径 。 l   最 好 将 c o n t e n t - d i s p o s i t i o n 定 义 为 a t t a c h m e n t 。 l   a c l   应 该 优 先 选 择   p r i v a t e   或 者 不 要 定 义 。 l   c o n t e n t - t y p e 应 该 明 确 设 置 （ 不 使 用   s t a r t s - w i t h ） 或 者 不 要 设 置 。 另 外 ， 永 远 不 要 基 于 用 户 的 请 求 参 数 创 建 U R L 签 名 ， 否 则 就 会 出 现 如 上 所 示 的 情 况 。 我 见 过 的 最 糟 的 情 况 是 ： h t t p s : / / s e c u r e . e x a m p l e . c o m / a p i / f i l e _ u p l o a d _ p o l i c i e s / m u l t i p a r t _ s i g n a t u r e ? t o _ s i g n = G E T % 0 A % 0 A % 0 A % 0 A x - a m z - d a t e % 3 A F r i % 2 C % 2 0 0 9 % 2 0 M a r % 2 0 2 0 1 8 % 2 0 0 0 % 3 A 1 1 % 3 A 2 8 % 2 0 G M T % 0 A % 2 F b u c k e t - n a m e % 2 F & d a t e t i m e = F r i , % 2 0 0 9 % 2 0 M a r % 2 0 2 0 1 8 % 2 0 0 0 : 1 1 : 2 8 % 2 0 G M T 你 确 实 给 了 它 你 要 签 名 的 请 求 ， 并 且 它 也 回 复 了 你 所 要 求 的 签 名 ： 这 可 以 用 来 制 作 获 取 U R L 签 名 的 请 求 ： 相 同 的 签 名 方 法 不 仅 仅 适 用 于 S 3 ， 它 使 得 你 能 够 将 你 想 要 的 每 一 个 请 求 签 署 到 A W S - k e y 被 允 许 使 用 的 任 何 A W S 服 务 。 * 参 考 来 源 ： 参 考 来 源 ： d e t e c t i f y ， ， H y d r a l a b 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 0 z f A a 9 z I B l X H 7 6 r T i t X X X u h E y J I   = c u r l   - H   " A u t h o r i z a t i o n :   A W S A K I A J A X X P Z R 2 X X X 7 Z X X X : 0 z f A a 9 z I B l X H 7 6 r T i t X X X u h E y J I = "   - H   " x - a m z - d a t e : F r i ,   0 9   M a r   2 0 1 8   0 0 : 1 1 : 2 8   G M T "   h t t p s : / / s 3 . a m a z o n a w s . c o m / b u c k e t - n a m e /
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理