一、概述
Minio是一款针对对象存储的开源软件，可在Amazon S3环境中运行，同时也支持私有云存储等环境。而Minio Browser是Minio的一个Web管理界面。在Minio Browser中，用户可以直接在界面上管理、上传、下载、删除等操作Minio中的文件。
二、漏洞描述
在Minio Browser中存在一种漏洞，容易导致不适当访问Minio存储桶中的文件。具体可通过如下步骤进行：
1、在Minio Browser中上传文件，并将文件命名为“../filename.txt”（其中“../”表示返回上一级）。此时，将在Minio中创建一个名为“filename.txt”的文件，但该文件的实际路径实际上是当前存储桶的上一级路径。
示例代码：
from io import BytesIO
import requests
files = {'file': ('../filename.txt', BytesIO(b'1234'))}
response = requests.post('http://127.0.0.1:9000/minio/mybucket/', files=files)
2、之后，用户通过Minio Browser进行访问，Minio Browser会对“../”进行编码，导致返回上一级路径变成了“%2E%2E/”，从而实际上访问的是存储桶中其他文件的内容。
三、漏洞影响
当攻击者利用该漏洞时，可以获得存储桶中的所有文件，并将需要的文件下载到本地进行进一步攻击。同时，攻击者可以将文件上传到存储桶的上一级目录中，以达到入侵的目的。
四、漏洞修复
为了防止该漏洞的产生，建议采取如下修复方法：
1、限制文件名中包含“../”字样；
2、对输入进行合法性验证。
示例代码：
def check_filename(name):
if ".." in name:
return False
return True
upload_filename = "../filename.txt"
if not check_filename(upload_filename):
print("invalid file name")
else:
files = {'file': (upload_filename, BytesIO(b'1234'))}
response = requests.post('http://127.0.0.1:9000/minio/mybucket/', files=files)
五、结语
针对Minio Browser漏洞，在文件上传时应当限制文件名中的“../”字样，或者在上传前对输入进行合法性验证；此外，在存储桶的访问权限设置上，也需要严格控制，以防止未授权访问。
原创文章，作者：QUHAX，如若转载，请注明出处：https://www.506064.com/n/363913.html
微信扫一扫 
支付宝扫一扫 