文章总结： 本文解析云安全靶场中阿里云OSS渗透技巧，涵盖后缀枚举、文件覆盖利用、JS泄露AKSK操作存储桶、CNAME残留导致的子域接管及桶名爆破。提供了ossutil配置、Burp爆破及权限设置等具体操作步骤，实战性强，适合云安全学习。 综合评分： 85 文章分类： 云安全,渗透测试,实战经验,漏洞分析

【好靶场】云安全专场-WP

原创

track track

泷羽Sec-track

2026年1月19日 20:32 安徽

声明！本文章所有的工具分享仅仅只是供大家学习交流为主，切勿用于非法用途，如有任何触犯法律的行为，均与本人及团队无关！！！

往期推荐：

【工具】Shiro反序列化利用工具

【工具】Sqlmap中文汉化版

若依(RuoYi)框架漏洞战争手册

【工具】多平台GUI图形化资产测绘工具，支持一键导出

【SRC】记某次未授权导致的20多w敏感信息泄露

公众号：

靶场url：http://www.loveli.com.cn/findbug?keyword=oss

注册邀请码：5a00c6cb8645461c

前置介绍

响应类型

• 未授权访问，包含路径
• AccessDenied：访问禁止，做了权限
• NoSuchKey：访问对象不存在
• NoSuchBucket：访问存储桶不存在–》可尝试接管

OSS出了什么问题

打开靶场，存在如下内容

提示flag不在这里，注意文件名的后缀

不存在列桶

注意后缀，存在一定规律，三位数字，burp设置爆破，成功获得flag

请在微信客户端打开

OSS出了什么问题2

环境–》文件覆盖

访问flag.txt并下载

打开burp，随便上传一个文件，得到提示，这里应该就很清楚了，为了让大家练习一下文件覆盖，日常渗透中，有了明确的文件路径，如果存在未授权上传，比如PUT方法，就可以尝试覆盖其他用户已经上传的文件，比如头像点，进行覆盖

新建一个flag.txt，然后上传

然后再次访问初始url，下载flag.txt文件即可得到flag

http://haobachang520.oss-cn-chengdu.aliyuncs.com/xxx/flag.txt

OSS出了什么问题3

根据提示结合之前的域名

访问url

https://haobachang522.oss-cn-chengdu.aliyuncs.com/

备份文件扫描无果，JS文件存在AKSK泄露，LTA开头，是阿里云的

使用GUI云管理工具无法连接，不能列桶

换一个工具，命令如下

wget https://gosspublic.alicdn.com/ossutil/1.7.14/ossutil64
chmod +x ossutil64
./ossutil64 config
./ossutil64 ls oss://haobachang522/
./ossutil64 cat oss://haobachang522/flag.txt

配置

读取flag

OSS存储桶接管

通当管理员在云存储服务中创建一个 bucket 时，该桶的名称是唯一的。然而，一旦管理员将 bucket 与自定义域名关联，通过DNS解析将 CNAME 指向 bucket 的域名，就存在一种潜在的劫持风险。 管理员将 bucket 删除后，没有将域名解析的CNAME删除。这种情况下，因为 bucket 的唯一性是在存储服务层面而不是在域名解析层面，攻击者通过注册相同名称的 bucket，上传任意文件到新注册的 bucket，攻击者就能够控制原本与域名相关联的内容

打开环境，请求flag.txt

访问域名，提示存储桶不存在，但是我们可以正常访问到，存在接管的可能

打开阿里云OSS控制台，注意url名称

https://hbc917867.oss-cn-chengdu.aliyuncs.com/
hbc917867：bucket名称
chendu：地区

再次访问，可以发现已经接管了，默认OSS存储桶设置的时候是公共不可读的

由于一开始的域名，flag.txt是直接在域名后的，所以直接上传同名文件到根目录

上传文件flag.txt

此时依然没有权限

关闭阻止公共访问

设置为公共可读

此时就成功接管了

OSS存储桶爆破

靶场信息

需要爆破桶名

打开burp，如下配置，两个payload均使用数字，组合枚举

日常渗透可枚举桶名/地区

403访问禁止，说明存在该域名

之后去获取flag即可

知识星球

可以加入我们的知识星球，包含cs二开，甲壳虫，渗透工具，SRC案例分享，POC工具等，还有很多src挖掘资料包

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：泷羽Sec-track track track《【好靶场】云安全专场-WP》