对象存储暴露面自查
对象存储桶的权限配置错误是常见的公开数据暴露源：桶可匿名列举或可匿名读取时，外部即可获取其中的文件。自查方式是访问桶地址看是否可列目录或读取对象，发现公开可读后记录桶名与权限现象并移交客户收紧权限。禁止下载内容、禁止遍历无关对象，也不需要用文件内容来证明结论。
基本信息
| 线索来源 | 页面引用、子域名、命名规律、证书信息 |
|---|---|
| 核查方式 | 访问桶地址查看是否可列举目录或匿名读取 |
| 处置方式 | 记录桶名与权限现象，移交客户收紧权限 |
| 证明方式 | 可列举或可匿名读取本身即为结论 |
| 纪律 | 不下载、不遍历、不保存对象内容 |
典型使用场景
- 前端静态资源引用的存储地址权限核对
- 备份、日志与导出文件存储的权限核查
- 核对桶策略是否误设为公开读或公开列举
- 检查历史遗留桶是否仍对外可用
- 整改后复查权限是否已收紧
核查原则
核查原则
# 仅测试授权范围内的桶地址，不做全网桶名枚举
# 通过访问桶根路径判断是否可列举目录
# 发现可列举：记录桶名、权限现象、发现路径，随即停止
# 不下载、不遍历、不保存任何对象内容
# 报告字段：桶名、权限现象、发现路径、处置建议权限现象读法
| 现象 | 含义 | 定级参考 |
|---|---|---|
| 可匿名列举目录 | 桶策略允许列出对象名称 | 高，对象名本身可能泄露业务信息 |
| 可匿名读取对象 | 对象级权限为公开读 | 中高，取决于内容敏感度 |
| 返回权限错误 | 权限配置生效 | 正常，记录为已校验 |
| 需签名访问 | 使用临时凭据访问 | 正常，记录访问控制方式 |
公开可读已经是结论，无需下载内容来证明：对象名列表本身可能已包含业务与人员信息。
为截图而列举全部对象名，会把一次权限核查变成本地保存大量敏感数据的行为。