一次OSS Accesskey泄露记录

一次OSS Accesskey泄露记录（AK）

前期准备

1、什么是Accesskey

访问密钥AccessKey（简称AK）是阿里云提供给用户的永久访问凭据，一组由AccessKey ID和AccessKey Secret组成的密钥对。

• AccessKey ID：用于标识用户。
• AccessKey Secret：是一个用于验证您拥有该AccessKey ID的密码。

AccessKey ID和AccessKey Secret根据算法由访问控制（RAM）生成，阿里云对AccessKey ID和AccessKey Secret的存储及传输均进行加密。

AccessKey不用于控制台登录，用于通过开发工具（API、CLI、SDK、Terraform等）访问阿里云时，发起的请求会携带AccessKey ID和AccessKey Secret加密请求内容生成的签名，进行身份验证及请求合法性校验。

2、自动化利用工具

OSS接管工具

ossbrowser 是 OSS 官方提供的图形化管理工具，提供类似 Windows 资源管理器的功能，使用 ossbrowser，您可以方便地浏览、上传、下载和管理文件。

http://gosspublic.alicdn.com/oss-browser/1.9.4/oss-browser-win32-x64.zip

accesskey反弹shell工具

https://github.com/mrknow001/aliyun-accesskey-Tools/releases/tag/v1.3

渗透的过程

注意：这个操作具有高度敏感性，需要在合法授权下才能进行。阿里云会记录你所有的操作过程，渗透千万条，安全第一条。操作不规范，亲人两行泪。

1、发现

这次我是在一个js文件中发现的，一般最容易找到的情况就是在这种js文件当中

2、利用

自动化利用工具

下载后打开

此时你就拥有了管理目标云数据库的权限

3、反弹shell

tcp后面跟的是自己的ip地址和监听的端口号，反弹shell命令的前提是目标能够出网

最后在cmd中使用nc监听即可

结语

渗透千万条，安全第一条。操作不规范，亲人两行泪。