第一次写文章师傅们轻喷~ 起因大二学生上课摸鱼，然后正常在测一些东西，emm 偶然在前端发现发现了 AK 等字样~ 心里窃喜洞要来了 😀 ！！直接用现成的工具就好然后进一步利用的话可以做存储桶的拼接 log.xxx.12345678.cos.ap-shanghai-cos.myqcloud.com 这样的话又可以进一步增加危害了~ 不过事实上访问之后并没有做限制也就是另一个师傅前几天说的（在创建Bucket桶时，默认是private的权限，如果在错误的配置下，给了listobject权限，就会导致可遍历存储桶） emm这个洞也是给了 6500 块(这不展示了展示了师傅们就知道哪个厂了^) 结果摸鱼的一天就这样结束了~ 如果师傅们有更骚的操作的话可以跟我讨论 ~

[未知] 对腾讯控制台是可以生成签名的

某鹅一次AK /SK 泄露导致拿下存储桶

未授权跟AK 是同级的洞喔

师傅太强了

tql

师傅，问下用的是啥工具呢

Iwtbb ak还可以有其他操作，控制服务器什么的，只要ak没修改权限，默认就是高权限的ak

Iwtbb 这个是只能用于腾讯的嘛，阿里的不行吧

pytho1n 可以用来生成签名~

TQL

大佬，这个存储桶是如何拼接的尼？

qiuluo_bai 桶+oss域名

这种漏洞怎么挖啊

修仙者多注意包里的或者 JS里的

Iwtbb 牛哇bb哥

归一师傅指的是啥

大佬，工具链接有吗？