阿里云OSS云攻防实战指南

一、阿里云OSS基础认知

阿里云对象存储服务(OSS)是一种海量、安全、低成本、高可靠的云存储服务，提供99.9999999999%(12个9)的数据持久性。

1.1 OSS基本概念

• Bucket：存储空间，用于存储对象的容器
• Object：对象，OSS存储的基本单元
• Endpoint：OSS访问域名
• AccessKey：访问密钥，包括AccessKey ID和AccessKey Secret

1.2 OSS常见配置风险点

1. Bucket权限配置不当：公开读写(ACL)、公共读私有写等
2. 防盗链配置缺失：未设置Referer白名单
3. 跨域配置(CORS)过于宽松：允许所有来源(*)
4. 日志记录未开启：无法追踪异常访问
5. 未启用加密：数据明文存储

二、OSS常见攻击面及实战案例

2.1 Bucket遍历攻击

攻击原理：
当Bucket配置为"公共读"或"公共读写"时，攻击者可通过构造特定URL直接访问Bucket内容。

检测方法：

http://bucket-name.oss-cn-hangzhou.aliyuncs.com/
或
http://oss-cn-hangzhou.aliyuncs.com/bucket-name/

防御措施：

• 将Bucket ACL设置为私有
• 启用Bucket Policy进行精细权限控制
• 开启日志记录监控异常访问

2.2 Bucket劫持攻击

攻击原理：
当用户删除Bucket后，攻击者立即注册相同名称的Bucket，可能导致原用户数据被恶意利用。

实战案例：

1. 发现某厂商Bucket为公共读写
2. 删除后立即创建同名Bucket
3. 上传恶意文件诱导用户访问

防御措施：

• 删除Bucket前确保已清空所有数据
• 避免使用公共读写权限
• 对重要Bucket启用版本控制和防误删保护

2.3 子域名接管攻击

攻击原理：
当CNAME记录指向的OSS域名(Bucket)可用时，攻击者可接管该子域名。

检测步骤：

1. 收集目标的子域名信息
2. 检查是否存在指向OSS的CNAME记录
3. 验证对应Bucket是否可注册

防御措施：

• 及时清理不再使用的DNS记录
• 对关键子域名进行监控
• 使用自有域名而非OSS默认域名

2.4 AccessKey泄露利用

攻击原理：
通过源码泄露、GitHub监控等方式获取AccessKey后，可完全控制对应OSS资源。

利用方法：

# 使用aliyuncli工具
aliyun oss ls oss://bucket-name
aliyun oss cp localfile oss://bucket-name/remotefile

防御措施：

• 定期轮换AccessKey
• 为不同应用创建不同RAM用户并分配最小权限
• 启用MFA保护
• 监控AccessKey使用情况

2.5 恶意文件上传攻击

攻击原理：
利用上传功能漏洞或配置不当，上传恶意文件如webshell、钓鱼页面等。

常见漏洞点：

• 未校验文件类型和内容
• 未设置文件覆盖保护
• 未限制上传路径

防御措施：

• 启用服务端加密
• 设置文件不可覆盖
• 限制上传文件类型
• 对用户上传内容进行严格校验

三、OSS安全加固指南

3.1 权限配置最佳实践

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "oss:GetObject"
      ],
      "Resource": [
        "acs:oss:*:*:bucket-name/*"
      ],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": ["192.168.0.0/16"]
        },
        "StringLike": {
          "acs:Referer": ["https://example.com/*"]
        }
      }
    }
  ]
}

3.2 监控与告警配置

1. 开通OSS操作日志并投递到日志服务
2. 设置异常访问告警规则：
   • 高频访问告警
   • 异常地域访问告警
   • 敏感操作告警(如删除操作)

3.3 数据安全措施

1. 启用服务器端加密(SSE)
2. 对敏感数据启用客户端加密
3. 启用版本控制防止数据误删
4. 设置合规保留策略(WORM)

四、渗透测试检查清单

1. [ ] Bucket ACL检查(是否公共读写)
2. [ ] Bucket Policy权限检查
3. [ ] 防盗链(Referer)配置检查
4. [ ] CORS配置检查
5. [ ] 子域名接管可能性检查
6. [ ] AccessKey泄露检查
7. [ ] 敏感文件泄露检查
8. [ ] 文件上传功能测试
9. [ ] 日志监控配置检查

五、应急响应建议

1. 发现泄露：

   • 立即修改AccessKey
   • 检查并修改Bucket ACL
   • 删除恶意文件

2. 取证分析：

   • 分析OSS访问日志
   • 确定攻击入口点
   • 评估影响范围

3. 后续加固：

   • 实施最小权限原则
   • 启用多因素认证
   • 建立定期安全审计机制

通过以上全面的安全措施和检查清单，可显著提升阿里云OSS存储服务的安全性，有效防范各类云存储攻击。