搜索

[941] 2019-10-29_由OSSAccessKey泄露引发的思考

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2019-10-29_由OSSAccessKey泄露引发的思考 由 O S S   A c c e s s K e y 泄 露 引 发 的 思 考 原 创   B y p a s s   B y p a s s   2 0 1 9 - 1 0 - 2 9 什 么 是 什 么 是 O S S ？ ？ 对 象 存 储 服 务 （ O b j e c t   S t o r a g e   S e r v i c e ， O S S ） 是 一 种 海 量 、 安 全 、 低 成 本 、 高 可 靠 的 云 存 储 服 务 ， 适 合 存 放 任 意 类 型 的 文 件 。 容 量 和 处 理 能 力 弹 性 扩 展 ， 多 种 存 储 类 型 供 选 择 ， 全 面 优 化 存 储 成 本 。 什 么 是 什 么 是 A c c e s s K e y ？ ？ A c c e s s K e y 包 括 A c c e s s K e y I D 和 A c e s s K e y S e c r e t 两 部 分 ， A c c e s s K e y I D 用 于 标 识 用 户 ， A c e s s K e y S e c r e t 用 于 验 证 用 户 的 密 钥 ， 主 要 用 于 程 序 方 式 调 用 云 服 务 A P I 。 我 们 来 看 一 个 简 单 的 测 试 案 例 ， 当 测 试 某 个 上 传 点 时 ， 获 取 到 一 个 H T M L 表 单 ： 请 求 的 主 机 名 x x x x . a l i y u n c s . c o m 和 表 单 的 O S S A c c e s s K e y I d 参 数 ， 基 本 可 以 确 认 系 统 使 用   O S S   作 为 上 传 文 件 存 储 ， 即 使 上 传 恶 意 脚 本 文 件 也 无 法 成 功 解 析 ， 面 对 这 种 情 况 如 何 破 局 ？ 别 着 急 放 弃 ， 还 有 一 次 机 会 的 。 通 过 查 阅 相 关 文 件 ， 我 们 可 以 知 道 使 用 表 单 上 传 文 件 到 使 用 表 单 上 传 文 件 到   O S S 的 技 术 方 案 里 ， 的 技 术 方 案 里 ， 有 三 种 实 现 方 式 有 三 种 实 现 方 式 ： O S S 产 品 文 档 ： h t t p s : / / h e l p . a l i y u n . c o m / d o c u m e n t _ d e t a i l / 3 1 9 2 3 . h t m l 1 .   在 客 户 端 通 过 J a v a S c r i p t 代 码 完 成 签 名 ， 然 后 通 过 表 单 直 传 数 据 到 O S S 。 2 .   在 服 务 端 完 成 签 名 ， 然 后 通 过 表 单 直 传 数 据 到 O S S 。 3 .   在 服 务 端 完 成 签 名 ， 并 且 服 务 端 设 置 了 上 传 后 回 调 ， 然 后 通 过 表 单 直 传 数 据 到 O S S 。 O S S 回 调 完 成 后 ， 再 将 应 用 服 务 器 响 应 结 果 返 回 给 客 户 端 。 当 采 用 J a v a S c r i p t 客 户 端 直 接 签 名 时 ， A c c e s s K e y I D 和 和 A c e s s K e y S e c r e t 会 暴 露 在 前 端 页 面 会 暴 露 在 前 端 页 面 ， 存 在 严 重 的 安 全 隐 患 。 通 过 翻 找 j s 文 件 ， 可 发 现 A c c e s s K e y 就 写 在 j s 文 件 里 面 。
A c c e s s K e y 泄 露 ， 如 何 进 行 漏 洞 利 用 呢 ？ 泄 露 ， 如 何 进 行 漏 洞 利 用 呢 ？ A c c e s s K e y 是 访 问 阿 里 云 A P I 的 密 钥 ， 将 会 造 成 什 么 样 的 风 险 呢 。 1 、 通 过 A P I 接 口 A c c e s s K e y   I D 和 A c c e s s K e y   S e c r e t   就 是 打 开 这 扇 门 的 钥 匙 ， 通 过 调 用 A P I 完 成 对 服 务 器 E C S 实 例 的 管 理 和 运 维 操 作 。 A P I 参 考 ： h t t p s : / / h e l p c d n . a l i y u n . c o m / d o c u m e n t _ d e t a i l / 1 1 7 9 3 4 . h t m l 2 、 通 过 第 三 方 管 理 工 具 O S S B r o w s e r o s s b r o w s e r   是   O S S   官 方 提 供 的 图 形 化 管 理 工 具 ， 提 供 类 似   W i n d o w s   资 源 管 理 器 的 功 能 ， 使 用   o s s b r o w s e r ， 您 可 以 方 便 地 浏 览 、 上 传 、 下 载 和 管 理 文 件 。 下 载 地 址 ： h t t p : / / g o s s p u b l i c . a l i c d n . c o m / o s s - b r o w s e r / 1 . 9 . 4 / o s s - b r o w s e r - w i n 3 2 - x 6 4 . z i p 护 卫 神 . 云 备 份 一 键 备 份 数 据 到 阿 里 云 O S S ， 支 持 B u c k e t 管 理 ， 支 持 鼠 标 拖 放 ， 支 持 剪 贴 板 ， 支 持 断 点 续 传 ， 支 持 统 计 目 录 大 小 ， 支 持 文 件 搜 索 。 下 载 地 址 ： h t t p s : / / d . h w s . c o m / f r e e / H w s O S S . z i p
行 云 管 家 多 云 管 理 平 台 ， 导 入 导 入 A c c e s s K e y ， 可 重 置 服 务 器 密 码 ， 接 管 服 务 器 。 ， 可 重 置 服 务 器 密 码 ， 接 管 服 务 器 。 官 方 地 址 ： h t t p s : / / y u n . c l o u d b i l i t y . c o m / l o g i n . h t m l 常 见 问 题 解 答 常 见 问 题 解 答 1 .   O S S 的 A c c e s s K e y   在 什 么 情 况 下 会 出 现 泄 露 ？ 采 用 J a v a S c r i p t 客 户 端 直 接 签 名 时 ， A c c e s s K e y I D 和 A c e s s K e y S e c r e t 会 暴 露 在 前 端 页 面 ， 存 在 严 重 的 安 全 隐 患 。 G i t h u b 等 平 台 泄 露 ， 通 过 关 键 字 可 搜 索 到 。 通 过 其 他 漏 洞 读 取 配 置 文 件 获 取 A c c e s s K e y 。 2 .   前 端 O S S 的 A c c e s s K e y   泄 露 ， 代 码 如 何 修 复 ？ 采 用 J a v a S c r i p t 客 户 端 签 名 直 传 存 在 严 重 安 全 风 险 ， 建 议 采 用 服 务 端 签 名 后 直 传 。 3 .   访 问 O S S 的 A c c e s s K e y 泄 露 了 ， 该 如 何 补 救 ？ 最 安 全 的 办 法 就 是 更 换 A c c e s s K e y ， 毕 竟 它 只 能 创 建 或 删 除 ， 启 用 或 禁 用 ， 是 没 有 给 你 修 改 密 码 的 机 会 的 。 4 .   测 试 时 ， 如 何 简 单 地 来 判 断 O S S 的 A c c e s s K e y 是 否 储 存 在 前 端 ？
可 以 通 过 上 传 操 作 时 ， 抓 取 的 H T T P 请 求 数 量 来 做 简 单 的 判 断 。 当 采 用 J a v a S c r i p t 客 户 端 直 接 签 名 ， 用 户 直 接 上 传 数 据 到 O S S ， 一 次 请 求 即 可 完 成 。 当 采 用 服 务 端 签 名 后 直 传 的 方 式 ， 需 要 用 户 向 应 用 服 务 器 请 求 上 传 P o l i c y ， 再 将 数 据 上 传 到 O S S ， 至 少 需 要 两 次 请 求 。 企 业 上 云 已 成 趋 势 ， 面 对 云 平 台 的 部 署 架 构 ， 不 管 是 开 发 、 安 全 或 是 运 维 ， 都 将 面 临 新 的 风 险 和 挑 战 。 云 上 丰 富 的 产 品 矩 阵 ， 为 用 户 提 供 了 各 种 实 例 的 选 项 ， 但 技 术 方 案 的 实 现 ， 云 上 的 安 全 策 略 及 服 务 ， 技 术 方 案 的 实 现 ， 云 上 的 安 全 策 略 及 服 务 ， R A M 精 准 的 权 限 控 制 精 准 的 权 限 控 制 ， 每 一 步 都 与 安 全 有 关 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理