AmazonS3攻击利用

简介

Amazon S3是一项对象存储服务，提供业界领先的可扩展性、数据可用性、安全性和性能。Web应用程序开发人员可以使用它存储数字资产，包括图片、视频、音乐和文档。

Bucket访问

整体功能创建同阿里云、腾讯云相仿，无特别大的其他操作

访问如下，AccessDenied

此处可配置ACL规则如下

Bucket爆破

同阿里云一样，不存在的Bucket返回NoSuchBucket，结合字典可进步通过返回包内容进行判断

Bucket遍历

如下设置Bucketacl配置即可

如果没有权限，可以进步基于爆破出来的Bucket同理爆破key值，从而访问业务资源

Bucket文件上传

当匿名用户具备写入权限时，即可对Bucket进行文件上传，甚至覆盖原有文件，原始权限如下

利用PUT方法可直接对文件进行上传

acl补充：

{
    "Owner": {
        "ID": "e6b65b"
    },
    "Grants": [
        {
            "Grantee": {
                "Type": "Group",
                "URI": "http://acs.amazonaws.com/groups/global/AllUsers"
            },
            "Permission": "READ"
        },
        {
            "Grantee": {
                "Type": "Group",
                "URI": "http://acs.amazonaws.com/groups/global/AllUsers"
            },
            "Permission": "WRITE"
        },
        {
            "Grantee": {
                "Type": "Group",
                "URI": "http://acs.amazonaws.com/groups/global/AllUsers"
            },
            "Permission": "READ_ACP"
        },
        {
            "Grantee": {
                "Type": "Group",
                "URI": "http://acs.amazonaws.com/groups/global/AllUsers"
            },
            "Permission": "WRITE_ACP"
        }
    ]
}

Bucketacl修改

同阿里云相仿，此处AWS也可以利用cli来访问和修改，如匿名用户具备对acl的读写权限，但访问Bucket却无法访问

获取acl信息

https://yangsirrr.s3.eu-central-1.amazonaws.com/?acl



确认为READ_ACP、WRITE_ACP

用客户端同理可获取

查看官方文档对其描述

此处可以直接利用客户端写入FULL_CONTROL

修改效果如下

用客户端来listobject同理

完全控制同理可进步文件上传等操作

Bucket特殊策略配置

设定指定的ip不能访问业务资源，其他ip可正常访问，正常访问结果如下

规则如下，deny掉104开头的某个地址


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::yangsirflkf/yyy.txt",
            "Condition": {
                "IpAddressIfExists": {
                    "aws:SourceIp": "104.XXXXX"
                }
            }
        }
    ]
}

访问后效果如下，其他不在规则中的资源不受影响

影响可用性

此处需要具备GetBucketPolicy、PutBucketPolicy权限，如上面先前的Deny的ip进行修改为Allow

上传后，再次访问业务效果如下

Bucket接管

访问某子域名，显示NoSuchBucket，可尝试进行接管利用

创建同名的S3，域名访问相同的文件路径，确认上传成功如下