[云OSS存储桶利用]记录一次某众测临时STS列桶利用-附方法

前言

仅供知识学习分享,敏感信息已打码

入口

STS列桶学习文章

mp.weixin.qq.com/s/NYoQ4QUqqWPOb86z2I7vxg?scene=1

其实过程很简单

小程序起手这里其中一个数据包泄露了sts

这里泄露了临时的accessid和accesskeysecret和securitytoken

用云资产管理工具或OSS管理工具是连不上的

下面通过ossutil64工具列桶 这也是阿里云官方的工具

下载并安装命令行工具ossutil – 对象存储 OSS – 阿里云

ossutil64 config -e oss.aliyuncs.com \ #-e后需自行调整为实际的云oss地址
-i STS.xx #对应上图的AccessKeyId
-k xxx #对应上图的AccessKeySecret
-t XXX #对应上图的SecurityToken

填入上述配置后成功列桶

统计大小和数量

cp可下载到本地 下载1-2张证明危害即可

------本文已结束，感谢您的阅读------