一次OSS存储桶的任意数据上传挖掘

第一步：识别目标

在随意浏览目标网站时，我遇到了一个 403 Forbidden 响应。

img

第二步：技术检测

我使用 Wappalyzer 浏览器扩展来分析目标所使用的技术。结果显示，该网站正在使用 阿里云对象存储服务（OSS）。

img

第三步：捕获请求

我启动了 Burp Suite，捕获了请求并将其发送到 Repeater。以下是捕获的请求：

第四步：观察响应

我收到以下响应：

img

第五步：测试 PUT 方法

由于收到 403 Forbidden 响应，我决定测试是否允许 PUT 请求。我对请求进行了如下修改：

img

第六步：收到 200 OK 响应

令我惊讶的是，我收到了 200 OK 响应，这表明我的数据已成功上传！

第七步：验证数据访问

随后，我尝试访问上传的 poc.json 文件，并成功检索到了存储的数据。

img

结论

阿里云对象存储服务（OSS） 的此类错误配置允许未授权用户上传数据，可能导致严重的安全风险，例如：

未授权的数据存储

覆盖敏感文件

潜在的数据泄露

建议

为了防止此类漏洞，应采取以下措施：

1.限制公共访问： 确保只有经过身份验证的用户才能上传数据。

2.正确配置 ACL（访问控制列表）： 仅授予授权用户适当的权限。

3.监控日志： 定期检查日志，检测未授权的 PUT 请求。

4.启用身份验证： 对所有云存储操作强制要求身份验证。

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。

原文始发于微信公众号（白帽子左一）：一次OSS存储桶的任意数据上传挖掘