阿里云accesskey利用工具 - aliyun-accesskey-Tools

一、下载地址

https://github.com/mrknow001/aliyun-accesskey-Tools/releases/tag/v1.3

二、介绍

此工具用于查询ALIYUN_ACCESSKEY的主机，并且远程执行命令。

三、云主机密钥介绍

阿里云官方解释的什么是AccessKey：

• 在调用阿里云API时您需要使用AccessKey完成身份验证。
• AccessKey包括AccessKey ID和AccessKey Secret，需要一起使用。具体如下：

AccessKey ID：用于标识用户。
AccessKey Secret：用于验证用户的密钥。AccessKey Secret必须保密。

云主机通过使用Access Key Id / Secret Access Key加密的方法来验证某个请求的发送者身份。
Access Key Id（AK）用于标示用户，Secret Access Key（SK）是用户用于加密认证字符串和云厂商用来验证认证字符串的密钥，其中SK必须保密。
AK/SK原理使用对称加解密。
Access Key 和 Secret Key 的组合是敏感信息，类似于用户名和密码的组合，需要妥善保管和保密。
如果 AK 或 SK 泄露，未经授权的人可能会使用它们来访问和操作用户的云资源，导致数据泄露、资源滥用或其他安全风险。

四、使用

1、输入AK和SK,查看所有实例信息

AliCloud-Tools.exe -a <AccessKey> -s <SecretKey> ecs –list

2、执行命令

AliCloud-Tools.exe -a <AccessKey> -s <SecretKey> ecs exec -I <实例ID> -c "执行命令"

五、常见泄漏方式

一般存在泄漏AK、SK地方点：

• APP的APK中存放Access Key ，对APK或者小程序包进行反编译即可获取AK/SK
• Web页面/JS文件等
• github中明文保存在代码库、配置文件、公开可访问的存储桶、版本控制系统中。
• AK/SK安全分发手段缺失，比如直接通过微信、企业微信等即时通讯工具对AK/SK口口相传等等

免责声明

本文档供学习，请使用者注意使用环境并遵守国家相关法律法规!
由于使用不当造成的后果上传者概不负责