首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

百万用户个人信息泄露漏洞

一、AWS S3存储错误配置致使数百万个人信息(PII)可被获取 起初我测试目标网站时候,未发现任何高风险漏洞,经过近一个小时探测分析,我发现存在一些无关紧要IDOR和XSS漏洞,没有高危漏洞...正当我打算要放弃时候,我发现目标网站使用了Amazon Cloudfront服务来存储公共图片,其存储 URL链接形如以下: https://d3ez8in977xyz.cloudfront.net/...要命是,这些敏感文件中存储内容几乎都是病人与医生之间谈话信息。...由于该公司不同域名对应不同AWS存储,因此我转向去发现其它域名公共图片存储,果不其然,它对应每个存储中都存储有成千个人数据信息,当时我没做具体核算,后期经了解该公司客户达数百万。...我该公司网站数据格式页面中发现了存储型XSS漏洞,其格式化数据存储本地管理员账户中,所以我用了XSSHunter内置 Payload形成触发反弹,当管理员触发Payload之后,就会把我想要数据发送给我

74330
您找到你想要的搜索结果了吗?
是的
没有找到

Subdomain Takeover 子域名接管漏洞

它是一种云存储服务(S3是Simple Storage Service缩写),允许用户将文件上传到所谓存储中,这是S3中逻辑组名称。 CloudFront使用发行版概念。...每个分发都是指向特定Amazon S3存储链接,以从中提供对象(文件)。创建新CloudFront分配后,将生成一个唯一子域来提供访问权限。...文档还支持该理论,因为该理论指出:即使另一个AWS Cloud分配中已经存在另一个域名,也无法将另一个域名添加到CloudFront分配中,即使您AWS账户拥有另一个分配“”。...Amazon S3 —先前曾简要提到过Amazon S3。用于访问存储默认基本域并不总是相同,并且取决于所使用AWS区域。AWS文档中提供了Amazon S3基本域完整列表。...与CloudFront相似,Amazon S3允许指定备用(自定义)域名来访问存储内容。 Heroku — Heroku是一个平台即服务提供程序,可以使用简单工作流来部署应用程序。

3.7K20

保护 Amazon S3 中托管数据 10 个技巧

此外,存储具有“ S3 阻止公共访问”选项,可防止存储被视为公开。可以 AWS 账户中按每个存储打开或关闭此选项。...5 – 使用 Amazon Macie 检测敏感内容 Macie 使用人工智能来检测我们存储之间敏感内容。...通过组织级别激活 Macie,我们可以获得一个集中式控制台,我们可以在其中评估我们数据,如果它们是公开、未加密或已在组织外部共享,则会向他们发出警报。...最后,我们可以使用“客户端加密”来自己加密和解密我们数据,然后再上传或下载到 S3 7-保护您数据不被意外删除 标准存储情况下,亚马逊提供了 99.999999999% 对象持久性,标准存储至少存储...Cloudtrail 可以为整个组织全局激活,因此建议我们关键存储激活此集成。 9-备份您 S3 数据 多个目的地至少保留一份关键数据备份。

1.4K20

用AWS部署一个无服务架构个人网站

整个网站将使用以下AWS服务: Lambda + API Gateway + S3,用于跑API服务器; DynamoDB,数据存储S3,静态网站; Cloudfront,分布式CDN,用作静态网站和...首先需要建一个名字就是域名。 从AWS控制台中切换到S3服务。由于我们要建立静态网站域名为myfrontend.example.com,我们要建一个同名。...} 保存之后,我们应该可以Bucket Policy按钮上以及Permissions选项卡上看到橙色“public”字样,表明我们是可以被公开访问。...浏览器中打开下面的地址就可以看到网站内容了(地址就是前面创建时显示EndpointURL): http://myfrontend.example.com.s3-website-us-east-1...“Create Distribution”画面上,我们需要填写以下信息: 点击Origin domain name输入框,选择刚才S3myfrontend.example.com.s3.amazonaws.com

3.8K40

几种多台云服务器之间共享数据方法

我们日常运维工作中,经常会涉及到需要在多台云服务器之间共享数据情况。如果都在同一个局域网,那么使用 SMB/CIFS、NFS 等文件级共享协议就可以。...是首个公有云上提供对象存储服务,可以说 S3 是对象存储领域事实标准,目前绝大多数云平台提供对象存储服务几乎都是 S3 兼容。...也就是说,一个系统或工具只要支持访问 S3,那么它就可以使用所有兼容 S3 接口定义其他对象存储服务。这样兼容性,让我们工具和存储服务方面都有了很多选择。...虚拟专用网 当需要在多台服务器之间共享敏感数据时,公有云提供存储服务通常不是最优选择。在这种情况下,我一般会考虑搭建虚拟专用网,将分布不同平台、不同地理位置服务器接入到同一个虚拟网络当中。...总结 本文主要为大家分享几种笔者实际工作中会采用几种服务器之间共享数据方案,从主观角度上说,对象存储和 JuiceFS 因为更简单方便,我在工作中使用会更多一些。

7.3K21

Amazon CloudFront 亚马逊云CDN开通和设置网站加速

比如我们可以用于网站、S3对象存储加速,默认 CloudFront 每个账户拥有每月1TB数据流量。...而且,CloudFront 网络拥有超过 225 个节点(PoP),这些节点通过完全冗余并行 100 GbE 光纤进行连接,可为终端用户提供超低延迟性能和高可用性。...提供缓存或动态内容时,CloudFront 会自动映射网络状况并智能地路由用户流量。 比如我们常用是给网站或者对象存储S3加速,当然还有负载均衡和一些API调用应用。...这里我们可以根据提示选择已经创建源,比如AWS S3 或者是输入域名。记住,这个域名不是我们直接加速CDN域名,而是要指向解析到服务器IP域名,算是一个跳板。...备用域名这里填写是我们真需要CDN域名。但是你真添加保存是不可以,会提示错误。

7.9K30

走好这三步,不再掉进云上安全沟里!

比如每个数据中心内部都采用视频监控,结合AWSKinesis Video Stream、S3以及人工智能等服务,来对视频做实时传输、存储和分析,实时发现可能存在问题。 ?...S3存储中发现安全问题,Inspector从EC2实例中发现操作系统和应用安全问题。...Amazon S3是一托管类服务,提供对象存储服务。AWS负责保证其11个9数据可靠性和4个9服务可用性,以及操作系统及软件补丁升级、防火墙配置及灾难恢复等。...你可使用SSL/TLS访问它,采用客户端数据加密,启用服务器端数据加密,按需配置访问权限,启用MFA Delete功能以防止存储误删,开启访问日志和监控,启用对象版本,对特定对象加锁以防止对象误删,使用...CCR(跨区域访问)来满足某些合规要求;还可启用AWS Macie服务,它会使用人工智能算法对S3存储数据进行分析,发现潜在安全风险,保护敏感数据。

2K20

Chevereto V4进阶使用:挂载外部对象存储拓展存储空间

Chevereto 是一个开源图像托管和共享系统,它支持各种存储选项,包括本地存储和外部对象存储服务。...由于我们图床往往运行在VPS上,容量不够时候我们可以通过S3对象存储拓展我们图床存储空间。前提条件开始之前,确保您已经完成了以下步骤:已经安装和配置好了 Chevereto V4。...(如何安装和配置可以看我之前这片文章# 教你如何使用 Docker 安装 Chevereto V4 搭建属于自己图床)已经有一个外部对象存储服务账户,例如 Amazon S3、Google Cloud...之后点击My Account进入后台管理界面创建一个新存储。...图片在创建存储时候Bucket Unique Name输入一个你喜欢名字,并且注意第二个选项一定要勾选Public,否则Chevereto将无法访问到对象存储文件。

1.3K40

JuiceFS v1.2-beta1,Gateway 升级,多用户场景权限管理更灵活

01 JuiceFS Gateway 简介 JuiceFS 将文件分块存储到底层对象存储中,向用户提供 POSIX 接口访问 JuiceFS 中文件。...此外,MinIO 其他后端实现还包括 NAS、Hadoop 等。 v1.2 版本中,我们直接实现了 MinIO object 接口 ,并将 JuiceFS 作为其服务后端存储。...服务账户 允许为某个用户添加服务账户,每个服务账户都与用户身份相关联,并继承附加到其父用户或父用户所属组策略。每个访问密钥还支持可选内联策略,可进一步限制对父用户可用操作和资源子集访问。...存储事件通知可以用来监视存储中对象上发生事件。...目前存储事件可以支持发布到以下目标: Redis MySQL PostgreSQL WebHooks 具体用法请参考使用文档。

9110

Github 29K Star开源对象存储方案——Minio入门宝典

存储将数据保存在原始块中,与文件存储不同,它可以通过存储区域网络访问,低延迟高性能,一般用于数据库相关操作。 很明显,文件存储便于共享,但是性能很差。块存储性能好,但是无法灵活共享。...与Amazon S3 兼容 亚马逊云 S3 API(接口协议) 是全球范围内达到共识对象存储协议,是全世界内大家都认可标准。...MinIO 很早时候就采用了 S3 兼容协议,并且MinIO 是第一个支持 S3 Select 产品....它支持文件系统和兼容Amazon S3存储服务(AWS Signature v2和v4)。 Copyls 列出文件和文件夹。 mb 创建一个存储或一个文件夹。...share 生成用于共享URL。 cp 拷贝文件和对象。 mirror 给存储和文件夹做镜像。 find 基于参数查找文件。

9.3K40
领券