浅谈gaul/s3proxy authorization绕过分析与利用

1. s3proxy概述

s3proxy是一个开源项目，实现了S3 API，允许通过这个API访问多种不同的存储服务，包括：

• Azure Blob
• Google Cloud Storage
• OpenStack Swift
• 本地文件系统

1.1 主要特性

• 基于jetty的web服务
• 可将AWS S3 API请求转发到其他云存储服务
• 支持通过Docker部署
• 可通过中间件嵌入Java应用程序

1.2 部署方式

1. Docker方式：从Docker Hub获取镜像
2. 手动部署：

   mvn package
   

   生成可执行文件在target目录下

2. 配置详解

配置文件s3proxy.conf关键参数：

# 认证方式：aws-v2, aws-v4, aws-v2-or-v4, 或 none
s3proxy.authorization=aws-v2-or-v4

# 端点配置
s3proxy.endpoint=http://127.0.0.1:8080

# 存储后端配置（以文件系统为例）
jclouds.provider=filesystem
jclouds.filesystem.basedir=/tmp/s3proxy

3. 认证绕过漏洞分析

3.1 漏洞原理

当s3proxy.authorization设置为aws-v2-or-v4时，存在认证绕过漏洞，允许未授权访问受保护资源。

关键处理流程：

1. 请求处理入口：org.gaul.s3proxy.S3ProxyHandler#doHandle
2. URI获取方式：request.getRequestURI()（未规范化处理）
3. 路径分割：String[] path = uri.split("/", 3)
4. 容器访问检查：FilesystemStorageStrategyImpl#getContainerAccess

3.2 漏洞触发条件

1. 认证模式设置为非none（如aws-v2-or-v4）
2. 使用文件系统作为存储后端
3. 容器目录设置了公开读取权限

3.3 漏洞利用方法

通过构造特殊URI绕过认证检查：

http://target:8080/./bucketname/object

技术细节：

1. 路径处理时./不会被规范化移除
2. getContainerAccess方法中路径拼接不受.影响
3. 最终会正确解析到/tmp/s3proxy/bucketname/object

3.4 限制条件

1. 当s3proxy.authorization=none时不可用
2. 容器名称不能以.开头或结尾（会被过滤）

4. 漏洞修复建议

1. 对请求URI进行规范化处理
2. 在认证检查前验证容器名称合法性
3. 更新到最新版本（如果已修复）

5. 安全配置建议

1. 生产环境避免使用none认证模式
2. 定期检查存储后端的权限设置
3. 限制可访问的IP范围
4. 启用日志记录和监控

6. 测试验证方法

1. 搭建测试环境：

   mkdir -p /tmp/s3proxy/testbucket
   echo "test data" > /tmp/s3proxy/testbucket/testfile
   

2. 发送测试请求：

   curl http://localhost:8080/./testbucket/testfile
   

3. 预期结果：返回"test data"内容

7. 影响评估

该漏洞可能导致：

• 未授权访问敏感数据
• 存储桶内容泄露
• 潜在的数据篡改风险

8. 参考链接

• 官方GitHub仓库：https://github.com/gaul/s3proxy
• Docker镜像：https://hub.docker.com/r/gaul/s3proxy