云存储攻防之Bucket配置可写

基本介绍

OBS ACL是基于帐号级别的读写权限控制，权限控制细粒度不如桶策略和IAM权限，OBS支持的被授权用户如下表所示：

桶ACL的访问权限如表所示：

对象ACL的访问权限如表所示：

操作实例

ACLs不可读写

Step 1：配置桶ACLs策略中的"公共访问权限"中的"ACL访问权限"为"不可读不可写"

Step 2：初始桶策略如下，不包含ListBucket

Step 3：直接访问可以看到无法列举对象信息

Step 4：查看acl发现无法访问

ACLs只可读取

Step 1：配置如下

Step 2：查看acls信息如下

请求的响应中以消息元素的形式返回桶的ACL信息，元素的具体意义如下表所示：

Step 3：从上面的acls查看结果可以看到此时Everyone都具备读取桶ACLs策略的权限，那么我们这里进行一个简单的尝试来写ACLs，发现失败

更改桶的ACL请求需要在消息元素中带上ACL信息，元素的具体含义如下表所示：

Step 4：此时我们的ACP依旧不变

ACLs可读可写

Step 1：配置如下

Step 2：查看acls信息如下

Step 3：从上面的acls查看结果可以看到此时Everyone都具备读取和写桶ACLs策略的权限，那么我们这里进行一个简单的尝试来写ACLs

Step 3：从上面的回显结果可以看到成功改写策略，之后我们转至桶ACLs页面查看对应的策略的变化

Step 4：之后再次查看ACLs策略时发现已更改为FULL_CONTROL

Step 5：可以看到此时我们成功改写了桶ACLs中"公共访问权限-匿名用户"的桶访问权限，之后我们再来查看桶对象时可以看到可以成功读取桶的对象

文末小结

桶的ACLs策略配置不当时，攻击者可以通过ACLs的写ACL策略来实现桶对对象的访问