文章总结： 本文介绍OSSFileBrowse工具，一款基于JavaFX的图形化存储桶遍历漏洞检测工具，支持多格式文件在线预览、压缩包嵌套展开、敏感字段搜索、批量下载等功能，适用于授权渗透测试中验证存储桶遍历漏洞风险，可提升漏洞验证效率。 综合评分： 75 文章分类： 渗透测试,云安全,安全工具,漏洞分析

安全工具丨存储桶遍历漏洞可视化检测利器

原创

蓝星安全 蓝星安全

蓝星安全

2026年9月29日 06:00 浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

点击上方蓝星安全关注我

免责声明：本公众号分享的任何资料仅限用于安全学习，严禁用于其他用途，请严格遵守中华人民共和国法律法规，对因不遵守国家法律法规而产生的任何后果，均由个人自行承担，本公众号不承担任何责任！

获取资料，请扫码下方二维码加入知识星球

一、简介

     在云安全渗透测试和SRC漏洞挖掘中，OSS存储桶遍历漏洞常年高居高危漏洞榜单。许多企业因运维疏忽，存储桶开放了匿名ListObject权限，攻击者可枚举桶内全部文件，下载源码、备份、合同、员工信息等敏感数据，造成大规模数据泄露。

然而，常规检测手段存在两大痛点：一是仅能获取XML格式的文件列表，无法直接预览内容，逐个拼接URL下载验证耗时费力；二是向甲方输出证明材料时缺少可视化证据，难以直观展示泄露危害。

OSSFileBrowse一款基于JavaFX构建的图形化存储桶遍历漏洞利用工具，主打可视化遍历与全格式在线预览，专门用于授权渗透测试中验证存储桶遍历漏洞风险。

二、核心能力

OSSFileBrowse v2.0在功能上进行了全面升级，核心能力覆盖文件浏览、预览、搜索、下载等多个维度。

2.1. 内置多格式文件预览

v2.0移除了对kkFileView的强制依赖，内置支持PDF、DOC/DOCX、XLS/XLSX、PPT/PPTX、文本、图片、HTML以及音视频的远程预览。这意味着安全人员无需额外部署第三方预览服务，即可直接查看桶内各类文件内容，大幅降低了使用门槛。未知后缀、无后缀文件统一使用纯文本方式预览，并兼容UTF-8、UTF-16、GB18030等编码。

*2.2. 压缩包多层嵌套展开*

工具支持ZIP、JAR、TAR、7z、RAR、GZIP等常见压缩格式按目录层级展开，并支持多层嵌套压缩包继续展开和预览。这一能力对于挖掘存储桶中隐藏的备份文件、源码包等敏感内容尤为实用。

*2.3. 内容敏感字段搜索*

v2.0新增了内容敏感字段搜索功能，规则来源于HaE的Rules.yml，支持普通文件、Office文档和压缩包内部文件的深度搜索，并自动生成域名或IP_leak_info.html汇总报告。安全人员可以快速定位存储桶中泄露的密钥、凭证等敏感信息，显著提升漏洞验证效率。

*2.4. 文件筛选与排序*

新增文件排序、文件大小排序、文件名模糊搜索和文件后缀筛选功能，帮助安全人员在海量对象中快速定位目标文件。文件列表加载后缓存在内存中，筛选、搜索和排序无需重复请求，响应迅速。

*2.5. 本机HTTP代理流式预览*

新增本机HTTP代理预览机制，支持HEAD、Range和206 Partial Content，远程文件可直接流式预览，无需完整下载即可查看内容。配合preview.max.size预览大小配置，可灵活控制预览文件的大小上限。

*2.6. 音视频后台解码播放*

内置JavaCV/FFmpeg音视频播放器，采用后台解码方式减少界面卡顿，同时保留JavaFX Media兼容播放机制，确保音视频文件流畅预览。

*2.7. 批量下载与目录结构保留*

支持选中文件下载和全部文件批量下载，批量下载时按照对象Key保留原始目录结构，方便后续整理和分析。

*2.8. 自定义请求头与SSL兼容*

新增自定义请求头功能，可适配不同云厂商的鉴权需求。同时提供HTTPS证书兼容配置，通过ignore.ssl参数处理过期证书或特殊证书环境。

*2.9. 后台任务与日志归档*

存储桶加载、内容搜索、文件预览、文件下载和媒体解码均改为后台任务执行，提升大文件和大量对象场景下的界面响应速度。运行日志按“日期＋域名或IP”归档，存储桶地址、请求地址、响应状态等信息同时输出到控制台和UTF-8日志文件

三、立即获取

https://github.com/jdr2021/OSSFileBrowse

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：蓝星安全 蓝星安全 蓝星安全《安全工具丨存储桶遍历漏洞可视化检测利器》