详解腾讯云 COS 攻防：Bucket 权限绕过与文件操控技巧

前言

随着云计算技术的普及，对象存储因其高可用、可扩展的特性，成为企业数据存储的核心选择，腾讯云COS（Cloud Object Storage）作为主流对象存储服务之一，被广泛应用于各类业务场景。但与此同时，COS配置不当、权限管控疏漏等问题，也成为网络攻防中的高频突破口，给企业数据安全带来潜在威胁

腾讯云存储桶的访问权限默认为私有读写权限,且存储桶名称会带上一串appid：

账户中的访问策略包括用户组策略、用户策略、存储桶访问控制列表（ACL）和存储桶策略（Policy）等不同的策略类型。当腾讯云 COS 收到请求时，首先会确认请求者身份，并验证请求者是否拥有相关权限。验证的过程包括检查用户策略、存储桶访问策略和基于资源的访问控制列表，对请求进行鉴权。

–摘自腾讯云官方文档
上图我们仅配置了存储桶访问权限，于是因为设置了私有读写，无权访问该文件，Message 为 “Access Denied.”