腾讯云COS对象存储攻防

最新推荐文章于 2024-08-22 14:18:12 发布
最新推荐文章于 2024-08-22 14:18:12 发布
阅读量813 收藏 1
点赞数
分类专栏： 云安全 文章标签： 腾讯云 云计算
原文链接：https://zone.huoxian.cn/d/949-cos
版权

原文链接：https://zone.huoxian.cn/d/949-cos
侵删

  • 腾讯云COS对象存储攻防

文章目录


最早内容

  • 最新回复

  • imgKEVIL

  • 7 3月

0x01 Bucket 公开访问

腾讯云存储桶的访问权限默认为私有读写权限,且存储桶名称会带上一串时间戳：
img

账户中的访问策略包括用户组策略、用户策略、存储桶访问控制列表（ACL）和存储桶策略（Policy）等不同的策略类型。当腾讯云 COS 收到请求时，首先会确认请求者身份，并验证请求者是否拥有相关权限。验证的过程包括检查用户策略、存储桶访问策略和基于资源的访问控制列表，对请求进行鉴权。
img

–摘自腾讯云官方文档
上图我们仅配置了存储桶访问权限，于是因为设置了私有读写，无权访问该文件，Message 为 “Access Denied.”
img

0x02 Bucket Object 遍历

如果策略中允许了Object的List操作，则在目标资源范围下，会将所有的Bucket Object显示出来，这时，Key值可以理解为文件的目录，通过拼接可获取对应的文件：
img

有趣的是，在腾讯云的访问策略体系中，如果存储桶访问权限为私有读写，且 Policy 权限为匿名访问，那么 Policy 权限的优先级高于存储桶访问权限。
如果控制台配置了Policy权限，默认是对所有用户生效，并且允许所有操作，这时即使存储桶访问权限配置为私有读写，匿名用户也可通过遍历Bucket Object，获取对应的文件。
img
img

0x03 Bucket 爆破

当访问的存储桶不存在时，Message 为 “NoSuchBucket”，通过响应包返回内容的对比，可以筛选出已存在的存储桶域名。
img

0x04 Bucket 接管

由于Bucket 接管是由于管理人员未删除指向该服务的DNS记录，攻击者创建同名Bucket进而让受害域名解析所造成的，关键在于攻击者是否可创建同名Bucket，腾讯云有特定的存储桶命名格式，即-+cos.ap-nanjing.myqcloud.com：
img

而appid是在控制台用时间戳随机生成的，因此无法创建同名Bucket，故不存在Bucket 接管问题：
img

0x05 任意文件上传与覆盖

由于Bucket不支持重复命名，所以当匿名用户拥有写入权限时，可通过任意文件上传对原有文件进行覆盖，通过PUT请求可上传和覆盖任意文件
img

0x06 用户身份凭证（签名）泄露

通过 RESTful API 对对象存储（Cloud Object Storage，COS）可以发起 HTTP 匿名请求或 HTTP 签名请求。匿名请求一般用于需要公开访问的场景，例如托管静态网站；此外，绝大部分场景都需要通过签名请求完成。
签名请求相比匿名请求，多携带了一个签名值，签名是基于密钥（SecretId/SecretKey）和请求信息加密生成的字符串。SDK 会自动计算签名，您只需要在初始化用户信息时设置好密钥，无需关心签名的计算；对于通过 RESTful API 发起的请求，需要按照签名算法计算签名并添加到请求中。
–摘自官方文档
代表腾讯云用户签名的参数为：SecretId/SecretKey，在开发过程中可能有如下几处操作失误会导致SecretId/SecretKey泄露，获取到SecretId/SecretKey相当于拥有了对应用户的权限，从而操控Bucket

Github中配置文件中泄露凭证

img

小程序\APP反编译源码中泄露凭证

错误使用SDK泄露凭证

常见场景：代码调试时不时从服务器端获取签名字符串，而是从客户端获取硬编码的签名字符串
官方SDK使用文档：https://cloud.tencent.com/document/product/436/8095
img

第三方组件配置不当导致泄露凭证

常见场景：/actuator/heapdump堆转储文件泄露SecretId/SecretKey

0x07 Bucket ACL 可读/写

列出Bucket Object提示无权访问：
img

查看Bucket的ACL配置，发现有http://cam.qcloud.com/groups/global/AllUsers下有FULL_CONTROL权限

GET /?acl HTTP/1.1
Host: <BucketName-APPID>.cos.<Region>.myqcloud.com
Date: GMT Date
Authorization: Auth String

img

官方文档中有对ACL权限配置参数的说明：https://cloud.tencent.com/document/product/436/30752#.E6.93.8D.E4.BD.9C-permission
img

FULL_CONTROL代表匿名用户有完全控制权限，于是在通过PUT ACL写入策略，将存储桶的访问权限配置为公有读写：
img

存储桶列表访问权限_腾讯云COS存储桶访问权限私有读写、公有读私有写和公有读写详解...
weixin_29467909的博客
12-29 8219
腾讯云对象存储COS存储桶的访问权限分为私有读写、公有读私有写和公有读写，三者有什么区别？如何选择？云帮云分享存储桶访问权限私有读写、公有读私有写和公有读写的详细介绍：存储桶访问权限详解目前腾讯云对象存储COS存储桶支持三种访问权限，即“私有读写”、“公有读私有写”和“公有读写”，三者的区别及选择说明如下：存储桶访问权限私有读写私有读写需要进行身份验证后才能对object进行访问操作，私有读写是存...
使用腾讯云COS对象存储（详细流程）
poker_zero的博客
07-14 9226
使用腾讯云COS对象存储（详细流程）
（亲测有效）SpringBoot项目集成腾讯云COS对象存储（1）
水w的博客
08-16 1602
SpringBoot项目集成腾讯云COS对象存储
腾讯云COS对象存储
墨家巨子@俏如来
07-23 1527
千呼万唤始出来，太忙了太忙了，本次带来腾讯云COS对象存储。也是因为搞项目正好用到COS，所以就记录下来，希望对大家有所帮助。
腾讯云COS分布式对象存储
我的博客
07-04 955
腾讯云对象存储（Cloud Object Storage，COS）是腾讯云提供的一种用于存储海量文件的分布式存储服务。腾讯云 COS 适用于多种场景，如静态网站托管、大规模数据备份和归档、多媒体存储和处理、移动应用数据存储等。
对象存储介绍（腾讯云cos）
热门推荐
qq_51726114的博客
03-25 1万+
什么是对象存储 对象存储是一种将数据作为对象进行管理的计算机数据存储体系结构，与其他存储体系结构（例如将数据作为文件层级管理的文件系统）以及将数据作为块和扇区内的块进行管理的块存储相对。每个对象通常包括数据本身，可变数量的元数据和全局唯一标识符。 对象存储可以在多个级别实现，包括设备级别（对象存储设备），系统级别和接口级别。在每种情况下，对象存储都试图实现其他存储架构无法解决的功能，例如可以由应用程序直接编程的接口，可以跨越多个物理硬件实例的命名空间，以及数据管理功能，如数据复制和数据分发在对象级粒度。 相
Java—腾讯云对象存储COS
最新发布
ClancyLv的博客
08-22 508
是由腾讯云推出的无目录层次结构、无数据格式限制，可容纳海量数据且支持 HTTP/HTTPS 协议访问的分布式存储服务。腾讯云 COS 的存储桶空间无容量上限，无需分区管理，适用于 CDN 数据分发、数据万象处理或大数据计算与分析的数据湖等多种场景。
腾讯云cos对象存储C#版本上传
05-04
腾讯云 COS 最新v5版本sdk暂时没C#版本。自己琢磨了一个，能用可供参考。js直传也可以用里面方法获取签名 ，代码里ToUnixTime自己网少找下处理方法，代码就不放了
腾讯云cos对象存储C#版本上传(API)
09-07
2018-05-04 上传大小：10KB cos对象存储C# 分享 腾讯云 COS 最新v5版本sdk暂时没C#版本。自己琢磨了一个，能用可供参考。
FineUI上传文件到腾讯云cos对象存储.zip
11-15
FineUI上传文件到腾讯云cos对象存储，并不是完整的案例，需要一定的理解能力，请谨慎下载。包含页面 文件管理、文件新建、文件编辑、COS拖拽上传、COS插入外链文件，已实现文件增删改、插入外链文件、本地拖拽或点击...
易语言-腾讯云对象存储COS调用API的简单例子
06-26
在IT行业中，腾讯云对象存储（Cloud Object Storage，简称COS）是一项广泛使用的云存储服务，它为企业和个人提供了海量、安全、低成本、高可靠的云存储解决方案。易语言是一种以中文编程为特色的编程语言，旨在降低...
使用腾讯Cos实现对象存储
blblccc
06-03 493
使用腾讯Cos实现对象存储
配置腾讯云COS(云对象存储服务)
Web_chicken的博客
05-25 5773
12.配置腾讯云Cos 目标： 配置一个腾讯云cos 由于上课的开发的特殊性，我们不希望把所有的图片都上传到我们自己的官方服务器上，这里我们可以采用一个腾讯云的图片方案 上边图的意思就是说，我们找一个可以免费上传图片的服务器，帮我们**代管图片，我们在自己的数据库里只保存一个地址就行， 这其实也是很多项目的处理方案，会有一个公共的文件服务器** 第一步，我们必须先拥有一个腾迅云的开发者账号(小心腾讯云的广告电话) 请按照腾讯云的注册方式，注册自己的账号 第二步，实名认证 选择个人账户 填
腾讯云存储对象COS使用（代码教程）
yangxingyu1106的博客
10-12 2886
本文只教学代码的操作使用，COS的配置（如APPID、SecretId、SecretKey等）需自行提前准备好。在执行任何和 COS 服务相关请求之前，都需要先生成 COSClient 类的对象， COSClient 是调用 COS API 接口的对象。SDK 支持 JDK 1.8 及以上版本，您可以通过命令 java -version 查看 Java 版本。当我们拿到COS的配置和密钥等后，就可以设置配置类。这些配置都是非常重要的，用于连接腾讯云的COS。你可以像我这样创建一个方法，方便后面的调用。
阿里云OSS和腾讯云COS对象存储介绍和简单使用
每天努力Coding
11-12 1764
阿里云的OSS对象存储是基于阿里云平台提供的一种分布式对象存储服务，OSS的API调用简单明了，支持多种的客户端/SDK，极大的方便了开发人员对数据进行访问。使用阿里云的OSS对象存储，除了具备高效的访问性能、数据可靠性和强大的扩展性外，还可以通过授权访问、日志记录等功能实现高可靠高安全性的数据存储与管理。，其主要是将数据以对象的形式存储在云端，并且提供了完全的API调用，这些API包括上传，下载，删除，复制，预览，权限设置等等。腾讯云的COS对象存储也是一种可靠、耐用、安全的云对象存储服务。
腾讯云对象存储COS简介和如何接入
tiancaijiben的博客
06-07 1723
腾讯云对象存储（Tencent Cloud Object Storage，COS）是一种安全、可靠、低成本、高扩展的云端存储服务。COS能够存储各种非结构化数据，包括图片、视频、音频、文本等。COS支持标准的HTTP/HTTPS协议，可以通过API、SDK、控制台等方式进行数据的上传、下载和管理。COS还提供了数据保护、数据备份、数据恢复、数据传输加密等多项安全措施，确保用户数据的安全性和可靠性。COS还支持自动化、智能化的数据生命周期管理，帮助用户降低数据存储成本。
腾讯云对象存储 COS
05-20
腾讯云对象存储 COS（Cloud Object Storage）是一种高度可扩展的云存储服务，用于存储和访问任何类型的数据，包括文本、图像、音频和视频等。COS 提供了高可用性、高耐用性和高性能的存储桶，可满足各种应用程序的需求。 COS 提供了多种 API 和 SDK，可用于上传、下载、管理和访问存储在 COS 中的对象。此外，COS 还提供了丰富的安全功能，如访问控制、加密和日志记录，以确保数据的保护和隐私。 COS 可以与其他腾讯云服务集成，如 CDN、CVM、云函数等，以实现更强大的应用程序。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值