当前位置： 首页 > news >正文

云上宝库：三大厂商对象存储安全性及差异性比较

news 文章来源：https://blog.csdn.net/qq_38154820/article/details/139807496 2025/2/9 2:01:51

前言

看了几家云厂商的对象存储，使用上有相似也有差异，聊聊阿里云、腾讯云、京东云三家对象存储在使用中存在的风险以及防护措施。

0x01 云存储命名

阿里云对象存储OSS(Object Storage Service)，新用户免费试用三个月，存储包容量规格20G三个月.

腾讯云对象存储 COS（Cloud Object Storage），新用户标准存储容量包，有效期6个月（180天），个人用户50GB6个月，企业用户1T六个月。

京东云对象存储OSS（Object Storage Service） ，目前无限制，存储包容量规格10G/月，请求次数50W次/月的标准，低于标准一直免费使用。

0x02 云存储空间创建

阿里云

image-20240512193643954

创建存储桶Bucket的名称唯一设置和地域没有关系，创建存储桶后的域名规则为：<BucketName>.oss.<Region>.aliyuncs.com

腾讯云

image-20240513144431372

腾讯云创建存储桶名称唯一跟低于也无关系，其名称构成<BucketName-APPID>.cos.<Region>.myqcloud.com

京东云

image-20240513152914079

京东云的bucket地域只有四个，命令规则为<BucketName>.s3.<position>-id.jdcloud-oss.com

华北

image-20240513155709451

华东

image-20240513155336913

0x03 云存储API密钥存储

阿里云

进入

image-20240513172737275

离开创建页面后无法获取SK，需提前保存SK，后期无法查看

image-20240513172848663

这里用户权限需要授权

image-20240513173432220

如果未授权，则Forbiden访问

image-20240513173531358

腾讯云

image-20240513210634001

创建AK/SK后期无法查询，密钥存储要求上基本与阿里云一致。

帮助网安学习，全套资料S信免费领取：
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）

京东云

京东云需要首先设置AccessKey，否则无法操作存储桶。

image-20240513145031385

AccessKey创建后可AS查看

image-20240513152724332

0x04 云存储常见安全问题
1. 配置不当导致的安全问题

阿里云

image-20240513211508790

阿里云设置公有读

image-20240514111818109

存储桶内的文件可被读取，虽然无法直接list对象，但是可以通过爆破的方式读取文件内容

image-20240514111928741

当设置包含listobject时，web访问存储桶直接可遍历对象

image-20240514112859254

当Bucket的权限设置为公共读写的时候，是可以直接使用PUT方式上传文件到存储桶内，这种配置会导致桶内文件来源的真实性无法保证

image-20240514115149558

文件上传成功

image-20240514115212417

腾讯云

腾讯云的存储桶权限和阿里云类似，描述不同，当非公共读写、非私有的条件下是可以遍历桶内文件的

image-20240514114502814

存储桶内的文件可被读取，虽然无法直接list对象，但是可以通过爆破的方式读取文件内容

image-20240514114412276

公共读写权限配置后可直接上传

image-20240514115309572

京东云

京东云在Bucket的权限上和阿里、腾讯基本一致，非私有状态下，也存在Bucket文件可遍历

image-20240514120215827

上传txt

image-20240514120357093

文件写入成功

风险

针对配置不当，可能产生的风险在于

  1. 数据泄露： 配置不当可能导致存储桶中的敏感数据被公开访问，如用户个人信息、敏感文件等。
  2. 后渗透风险：桶内数据来源的真实性面向用户无法保障，且对用户的安全性造成影响，可利用该漏洞进行供应链攻击。
2.策略配置不当导致的安全风险

针对三家厂商的存储桶，阿里云bucket授权策略

image-20240514133724803

腾讯云Policy策略

image-20240514133853633

这两家比较类似

京东云CORS跨域规则

image-20240514134050515

规则添加简单测试还是比较友好的

风险

规则配置可能会导致存储桶敏感文件泄露，比如说规则设置添加遍历存储桶对象等。

3.存储桶爆破

阿里云

阿里云针对存储桶的回显返回值不同

image-20240514131547945

无Bucket

image-20240514131635390

腾讯云

腾讯云的回显

image-20240514131742948

京东云

image-20240514131820434

风险

虽然三家的产品根据回显值均可以爆破，如果从利用角度来讲，需要配合前面的配置不当才能继续后渗透，从爆破的角度来讲，腾讯云的域名构成<BucketName-APPID>.cos.<Region>.myqcloud.com的爆破存储桶的风险可以说是最低的，甚至可以说基本上不用考虑。目前下载大量的存储桶在业务中的应用可能最常见的是图片文件云存储利用，一般是不设置域名绑定存储桶的。

4.AK/SK泄露

AK 和 SK 泄露可能被恶意用户用于未经授权的访问云服务资源，导致数据泄露、篡改或删除等安全问题。针对不同厂商目前有工具可直接利用泄露的AK/SK接管存储桶。

针对不同厂商对象存储AK/SK的创建用户的权限划风险需要注意

阿里云RAM访问控制

image-20240514134954850

腾讯云用户访问管理权限分配

image-20240514135434869

image-20240514135620062

京东云

image-20240514135733252

用户授权

image-20240514135849391

用户权限配置不当，会导致云服务被完全接管。

0x05 云存储防护
  1. 加强身份验证和访问控制： 使用身份和访问管理（IAM）来限制对存储桶和其中对象的访问。确保只有授权的用户或服务能够访问，并严格控制他们的权限，采用最小权限原则。
  2. 加密数据： 对于敏感数据，采用适当的加密措施，包括数据在传输和静态存储时的加密。
  3. 网络安全配置： 配置网络安全组、防火墙等措施，限制对存储桶的访问仅来自可信来源，减少公开访问的风险。
  4. 监控和日志记录： 设置监控警报，对存储桶的访问和活动进行实时监控，并记录审计日志，以便及时发现异常行为或潜在的安全威胁。
  5. 定期备份和恢复： 定期备份存储桶中的重要数据，并建立有效的恢复计划，以防止数据丢失或损坏，例如意外删除或勒索软件攻击。
  6. 防止公开访问误配置： 定期审查存储桶的访问权限配置，确保没有意外的公开访问权限，避免因配置错误导致数据泄露的风险。
  7. 实施访问限制策略： 使用 IP 白名单或访问令牌等策略，限制存储桶的访问仅限于授权的用户或系统。

相关文章：

云上宝库：三大厂商对象存储安全性及差异性比较

前言 看了几家云厂商的对象存储&#xff0c;使用上有相似也有差异&#xff0c;聊聊阿里云、腾讯云、京东云三家对象存储在使用中存在的风险以及防护措施。 0x01 云存储命名 阿里云对象存储OSS(Object Storage Service)&#xff0c;新用户免费试用三个月&#xff0c;存储包容…...

编程日记 2024/6/20 4:04:48

【计算机网络体系结构】计算机网络体系结构实验-www实验

二、www实验 1. 添加网站 2. 浏览器打开...

编程日记 2024/6/20 4:03:46

Windows下MySQL数据库定期备份SQL文件与删除历史备份文件.bat脚本

目录 一、功能需求 二、解决方案 （1）新建文件夹及批处理文件 （2）编写备份脚本 ①完整脚本 ②参数修改 （3）编写定期删除备份脚本 ①根据文件名识别日期进行删除 ② 根据文件的修改日期删除 （4）设置定时器 （5）常见报错与处理 一、功能需求 在Windows系统下…...

编程日记 2024/6/20 4:02:45

electron基础使用

安装以及运行 当前node版本18&#xff0c;按照官网提供操作&#xff0c;npm init进行初始化操作&#xff0c;将index.js修改为main.js&#xff0c;执行npm install --save-dev electron。&#xff08;这里我挂梯子下载成功了。&#xff09;&#xff0c;添加如下代码至package.…...

编程日记 2024/6/20 4:00:43

9.华为交换机telnet远程管理配置aaa认证

目的&#xff1a;telnet远程管理设备 LSW1配置 [Huawei]int Vlanif 1 [Huawei-Vlanif1]ip add 1.1.1.1 24 [Huawei-Vlanif1]q [Huawei]user-interface vty 0 4 [Huawei-ui-vty0-4]authentication-mode aaa [Huawei-ui-vty0-4]q [Huawei]aaa [Huawei-aaa]local-user admin pass…...

编程日记 2024/6/20 3:56:39

xcode报错合集，你都遇到过哪些跳不过的坑

1.报错Consecutive declarations on a line must be separated by ; 其实我这里是用因为创建了一个结构体&#xff0c;然后在没有使用State的情况下&#xff0c;修改它的属性了 当然加上State依然报错&#xff1a; 应该在UI事件中修改&#xff1a;...

编程日记 2024/6/20 3:55:37

六面体大米装袋机长期稳定运行原因分析

随着现代化农业生产的发展&#xff0c;六面体大米装袋机已成为粮食加工行业不可或缺的重要设备。然而&#xff0c;如何确保这些机器长期稳定运行&#xff0c;提高生产效率&#xff0c;降低维护成本&#xff0c;一直是广大粮食加工企业关注的焦点。星派将为您揭示六面体大米装袋…...

编程日记 2024/6/20 3:53:34

android的surface

相信很多Android开发者都知道Canvas类是UI的画布&#xff08;虽然这种说法并不严谨&#xff09;&#xff0c;因为我们在Canvas上完成各种图形的绘制&#xff0c;那么我们Activity上的各种交互控件又是如何展示并渲染到屏幕上的呢&#xff0c;所以在另一个层面上也有一个“画布”…...

编程日记 2024/6/20 3:52:32

Z世代职场价值观的重塑：从“班味”心态到个人成长的追求

近日&#xff0c;社交平台Soul APP联合上海市精神卫生中心&#xff08;俗称“宛平南路600号”&#xff09;发布《2024年Z世代职场心理健康报告》&#xff08;下称“报告”&#xff09;&#xff0c;发现今天的年轻人正以其独特的价值观和行为模式&#xff0c;重新定义成功与成就…...

编程日记 2024/6/20 3:51:31

【Python】Python 2 测试网络连通性脚本

文章目录 前言1. 命令行传参2. 代码 前言 最近在只有python2的服务器上部署服务&#xff0c;不能用三方类库&#xff0c;这里出于好奇心学习下python。这里简单做个脚本&#xff0c;实现了检验网络连通性的功能&#xff08;类似于curl&#xff09;。 1. 命令行传参 使用命令…...

编程日记 2024/6/20 3:50:30

瓦罗兰特教你怎么玩低价区+超适配低价区的免费加速器

《无畏契约》&#xff08;VALORANT&#xff09;是一款款英雄为核心的5V5第一人称战术射击PC游戏。在瓦罗兰特游戏中&#xff0c;玩家完成每日任务即可以获得大量的经验升级&#xff0c;另外我们也可以多多完成主线和支线任务&#xff0c;来加快升级的速度。玩家通过挑战副本&am…...

编程日记 2024/6/20 3:46:24

Linux安装kvm虚拟机

kvm是基于内核的虚拟机&#xff0c;为什么要用kvm不用vmware、virtual box… 只有一个原因&#xff0c;它非常快&#xff01;本机使用linux开发也是因为它快&#xff01;linux在老电脑上都能流畅运行&#xff0c;更别说现代电脑&#xff0c;如果你觉得装Linux并没有比win快多少…...

编程日记 2024/6/20 3:45:23

@pytest.fixture与@pytest.mark.parametrize结合实现参数化

背景&#xff1a;测试数据既要在fixture方法中使用&#xff0c;同时也在测试用例中使用 使用方法&#xff1a;在使用parametrize的时候添加"indirectTrue"参数。pytest可以实现将参数传到fixture方法中&#xff0c;也可以在当前测试用例中使用。 原理&#xff1a;参…...

编程日记 2024/6/20 3:44:21

uniapp中unicloud接入支付宝订阅消息完整教程

经过无数次的尝试，终于还是让我做出来了 准备工作 设置接口加签方式 使用支付宝小程序订阅消息，首先要设置接口加签方式，需要下载支付宝开放平台密钥工具，按照步骤生成秘钥，然后按照支付宝设置密钥加签方式添加接口加签方式。 有一点需要注意的，因为要在云函数中使用，…...

编程日记 2024/6/20 3:43:18

PHP 标准建议psr

PSR-1: Basic Coding Standard&#xff08;基础编码标准&#xff09; PSR-1 定义了PHP代码文件的基本编写规范&#xff0c;它关注的是代码文件的结构和一些通用的编程约定&#xff0c;主要包括&#xff1a; 文件命名&#xff1a;PHP文件必须以.php为后缀。PHP标签&#xff1a…...

编程日记 2024/6/20 3:41:16

第九届信也科技杯全球AI算法大赛——语音深度鉴伪识别参赛A榜 0.968961分

遗憾没有进复赛&#xff0c;只是第41名。先贴个A榜的成绩。A榜的前三十名晋级&#xff0c;个个都是99分的大佬&#xff0c;但是B榜的成绩就有点低了&#xff0c;应该是数据不同源的问题&#xff0c;第一名0.78分。官网链接&#xff1a;语音深度鉴伪识别 官方baselin:https://g…...

编程日记 2024/6/20 3:40:13

【设计模式（三） 设计模式的分类 】

设计模式&#xff08;DesignPattern&#xff09;是一套被反复使用、多数人知晓的、经过分类的、代码设计经验的总结。 使用设计模式的目的 &#xff1a;为了代码可重用性、让代码更容易被他人理解、保证代码可靠性。设计模式使代码编写真正工程化&#xff1b;设计模式是软件工程…...

编程日记 2024/6/20 3:39:10

Linux进程概念（个人笔记）

Linux进程概念 1.冯诺依曼体系结构2.操作系统&#xff08;先描述&#xff0c;再组织&#xff09;3.进程3.1查看进程的方式3.2通过系统调用获取进程标识符3.4查看进程中常见字段状态的指令3.3fork创建子进程3.3.1fork的原理 3.4进程状态3.5进程优先级3.5.1Linux内核的调度队列与…...

编程日记 2024/6/20 3:38:09

每天五分钟计算机视觉：如何在现有经典的卷积神经网络上进行微调

本文重点 在深度学习领域，卷积神经网络（Convolutional Neural Networks，CNN）因其强大的特征提取和分类能力而广泛应用于图像识别、自然语言处理等多个领域。然而，从头开始训练一个CNN模型往往需要大量的数据和计算资源，且训练时间较长。幸运的是，迁移学习（Transfer Le…...

编程日记 2024/6/20 3:36:07

10个典型的MySQL笔试题和面试题

提供10个典型的MySQL笔试题和面试题作为示例&#xff0c;并给出答案或解释。如果需要更多题目&#xff0c;可以根据这些示例进行扩展或参考相关文档。 1. MySQL是什么&#xff1f; 答案&#xff1a;MySQL是一个关系型数据库管理系统&#xff08;RDBMS&#xff09;&#xff0c…...

编程日记 2024/6/20 3:35:05

AI大模型的TTS评测

L-MTL&#xff08;Large Multi-Task Learning&#xff09;Models 是一种大规模多任务学习模型&#xff0c;通过结合 Mixture of Experts&#xff08;MMoE&#xff09;框架与 Transformer 模型&#xff0c;实现对 TTS&#xff08;Text-to-Speech&#xff09;系统中多个评估指标的…...

编程日记 2024/6/20 3:33:01

推荐一款可以下载B站视频和音频的工具

cobalt是一个免费的下载网站&#xff0c;主要是用于载视频和音频。只要你把相应的网址复制下来&#xff0c;然后打开cobalt网站&#xff0c;黏贴网址&#xff0c;选择要下载的格式&#xff0c;就可以下载相应的音频或者视频了。 该网站非常简洁&#xff0c;使用也很简单。目前只…...

编程日记 2024/6/20 3:31:59

中科数安 |-透明加密软件_无感透明加密 - 源头有保障

中科数安的透明加密软件是一款专为保护企业数据安全而设计的高级产品&#xff0c;它采用了无感透明加密技术&#xff0c;确保源头数据的安全可靠。 ——www.weaem.com 以下是该软件的主要特点和功能概述&#xff1a; 无感透明加密&#xff1a; 中科数安的透明加密软件能够在用…...

编程日记 2024/6/20 3:30:58

ui自动化selenium，清新脱俗代码，框架升级讲解

一&#xff1a;简化 1. 新建common 包 新建diver.py 封装浏览器驱动类 from selenium import webdriverclass Driver():"""浏览器驱动类定义 一个【获取浏览器驱动对象driver的方法】。支持多种类型浏览器"""def get_driver(self,browser_typ…...

编程日记 2024/6/20 3:29:57

【吊打面试官系列-Mysql面试题】Myql 中的事务回滚机制概述 ?

大家好&#xff0c;我是锋哥。今天分享关于 【Myql 中的事务回滚机制概述 ?】面试题&#xff0c;希望对大家有帮助&#xff1b; Myql 中的事务回滚机制概述 ? 事务是用户定义的一个数据库操作序列&#xff0c;这些操作要么全做要么全不做&#xff0c;是一个不可分割的工作单位…...

编程日记 2024/6/20 3:27:55

VMware虚拟机三种网络模式设置 - Bridged（桥接模式）

一、前言 由于linux目前很热门&#xff0c;越来越多的人在学习linux&#xff0c;但是买一台服务放家里来学习&#xff0c;实在是很浪费。那么如何解决这个问题&#xff1f;虚拟机软件是很好的选择&#xff0c;常用的虚拟机软件有vmware workstations和virtual box等。 在使用虚…...

编程日记 2024/6/20 3:26:53

关于Panabit在资产平台中类型划分问题

现场同事问了一个问题&#xff1a;Panabit能不能当做CentOS接入&#xff1f; 我第一反应是&#xff1a;Panabit是个什么鬼&#xff1f;为啥要混编接入&#xff1f;后期维护都是事啊。所以&#xff0c;我就想回答&#xff1a;不能&#xff01; 但是&#xff0c;最好要给出一个…...

编程日记 2024/6/20 3:25:52

【C语言】12.C语言内存函数

文章目录 1.memcpy使用和模拟实现2.memmove使用和模拟实现3.memset函数的使用4.memcmp函数的使用 memcpy&#xff1a;内存拷贝 memmove&#xff1a;内存移动 memset&#xff1a;内存设置 memcmp&#xff1a;内存比较 1.memcpy使用和模拟实现 memcpy&#xff1a;内存拷贝 void…...

编程日记 2024/6/20 3:24:50

Django：如何将多个数据表内容合在一起返回响应

一.概要 Django写后端返回响应时&#xff0c;通常需要返回的可能不是一个数据表的内容&#xff0c;还包括了这个数据表的外键所关联的其他表的一些字段&#xff0c;那该如何做才能把他们放在一起返回响应呢&#xff1f; 二.处理方法 在这里我有三个数据表 第一个是航空订单&…...

编程日记 2024/6/20 3:23:48

棱镜七彩荣获CNNVD两项大奖，专业能力与贡献再获认可！

6月18日&#xff0c;国家信息安全漏洞库&#xff08;CNNVD&#xff09;2023年度工作总结暨优秀表彰大会在中国信息安全测评中心成功举办。棱镜七彩凭借在漏洞方面的突出贡献和出色表现&#xff0c;被授予“2023年度优秀技术支撑单位”与“2023年度最佳新秀奖”。 优秀技术支撑单…...

编程日记 2024/6/20 3:21:45

站长推荐/互联网营销的方式有哪些

1.将分区信息写到硬盘的第一个设备节点的MBR结构中的分区表&#xff1b;2.格式化分区到指定的文件系统类型。MBR中存放分区表的位置在446-509&#xff0c;占用了64字节&#xff0c;MBR结构只支持4个主分区&#xff0c;所以有4个16字节的区域&#xff0c;先简要说明一下MBR的分区…...

编程日记 2025/2/8 13:47:17

asp网站开发教程/网页

作者介绍 郑泰森 某共享平台集团风控负责人&#xff1b; “数据人创作者联盟”成员。 接&#xff1a;【干货】风控模型如何嵌入策略&#xff08;一&#xff09; 01 三种常见的风险定价方式 我来简单介绍一下三种常见的风险定价方式&#xff0c;刚才介绍的是整体的情况。风险…...

编程日记 2025/2/8 11:24:41

网站开发主流技术线路介绍/个人免费开发app

一、网站安全 1、公司自有框架safeCheck函数。 /*** safeCheck() 参数检查&#xff0c;并防XSS 和 SQL注入* * param mixed $str * param bool $number 是否做数字检查 1-&#xff08;默认&#xff09;数字 0-不是数字* param bool $script 是否过滤script 1-&#xff08;默…...

编程日记 2025/2/8 9:12:57

网站建设计划书/360开户

linux mixerWindows 10’s Creators Update added a new live game-streaming feature. You can broadcast your gameplay in real time to your friends without any additional software. Windows 10的创作者更新添加了新的实时游戏流媒体功能。 您可以将您的游戏玩法实时广播…...

编程日记 2025/2/8 6:58:23

山东省质量建设监督总站网站/百度知道合伙人官网

IDEA在一个模块下类文件如下图&#xff0c;对其进行单元测试时&#xff0c;没有运行窗口&#xff0c;毫无反应&#xff1b;可以发现在正常的java工程中是由run窗口的&#xff0c;可通过alt 4调出&#xff1b;但在该模块下&#xff0c;发现是这样的那么该怎么解决呢&#xff1f…...

编程日记 2025/2/8 4:03:32

网站运营是具体的/品牌营销策划公司

第10条&#xff1a;在既有类中使用关联对象存放自定义数据 1. 关联对象 可以给某对象关联许多其他对象&#xff0c;这些对象通过“键”来区分&#xff0c;这就是关联对象。存储对象值的时候&#xff0c;可以指明“存储策略”&#xff08;storage policy&#xff09;&#xff…...

编程日记 2025/2/7 23:08:41