文章总结： 本文介绍OSSFileBrowse，一款专为红队渗透测试设计的存储桶遍历漏洞利用工具。其核心功能包括多格式文件在线预览、压缩包多层嵌套展开、敏感信息自动扫描及高效文件管理，解决了传统利用方式效率低、危害证明难等痛点。工具基于JavaFX构建，支持自定义请求头与代理预览，适用于红队测试、蓝队评估及应急响应等场景，并提示需合法授权使用。
综合评分： 82
文章分类： 红队,渗透测试,安全工具,云安全
OSSFileBrowse：红队渗透测试中的存储桶遍历漏洞利用神器
原创
jdr2021
jdr2021
Hack分享吧
2026年9月24日 08:30
湖南
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
| Ima知识库名称 | 加入条件 |
| — | — |
| 潇湘信安协同知识库（更新~ing!） | 免费加入 |
| 潇湘信安学习资料库（更新~ing!） | ≥3年粉丝 |
| 潇湘信安内部知识库（更新~ing!） | 星球成员 |
现在只对常读和星标公众号才展示大图推送，建议大家把“Hack分享吧”设为星标，否则可能看不到了！
OSSFileBrowse：红队渗透测试中的存储桶遍历漏洞利用神器
在云安全攻防实战中，存储桶遍历漏洞往往被低估。一个配置不当的对象存储桶，可能泄露企业核心数据资产。今天介绍的这款工具——OSSFileBrowse，将彻底改变你对存储桶漏洞利用的认知。
一、为什么需要 OSSFileBrowse？
在渗透测试过程中，我们经常会遇到存储桶遍历漏洞（Bucket Listing）。传统的利用方式存在诸多痛点：
- 😫 直接访问即下载：浏览器打开文件链接直接下载，无法在线预览内容
- 🔍 效率低下：成千上万个文件，一个个拼接URL下载不现实
- 📊 危害证明难：向甲方证明漏洞危害时，缺乏直观的证据展示方式
- 📦 压缩包无法深入：遇到ZIP、RAR等压缩文件，必须下载后才能查看内容
OSSFileBrowse 的出现，正是为了解决这些问题。它是一款专为红队人员打造的存储桶遍历漏洞利用工具，基于 JavaFX 构建图形化界面，让你像操作本地文件管理器一样浏览云端存储桶。
二、核心功能一览
2.1 多格式文件在线预览
无需下载到本地，直接在工具内预览各类文件：
| 文件类型 | 支持格式 | 预览方式 |
| — | — | — |
| 文档类 | PDF、DOC/DOCX、XLS/XLSX、PPT/PPTX | 内置渲染（PDFBox + Apache POI） |
| 文本类 | TXT、代码文件、无后缀文件 | 自动识别编码（UTF-8/UTF-16/GB18030） |
| 图片类 | JPG、PNG、GIF、BMP 等 | 直接渲染显示 |
| 音视频类 | MP4、MP3、AVI 等 | JavaCV/FFmpeg 后台解码播放 |
| 网页类 | HTML、HTM | 内置浏览器渲染 |
2.2 压缩包深度展开
这是最令人惊艳的功能之一。OSSFileBrowse 支持多层嵌套压缩包的在线展开：
- 支持格式：ZIP、JAR、TAR、7z、RAR、GZIP
- 按目录层级展开，像浏览文件夹一样查看压缩包内容
- 支持多层嵌套——压缩包里的压缩包继续展开
- 压缩包内的文件可直接预览，无需逐层解压
2.3 敏感信息自动扫描
内置敏感字段搜索功能，规则来源于知名项目 HaE 的 Rules.yml：
- 支持普通文件、Office 文档、压缩包内部文件的内容搜索
- 自动识别 API Key、密码、手机号、身份证号、邮箱等敏感信息
- 生成
域名或IP_leak_info.html格式的汇总报告，方便交付甲方
2.4 高效的文件管理
- 文件列表缓存：首次加载后缓存在内存，筛选/搜索/排序无需重复请求
- 模糊搜索：按文件名快速定位目标文件
- 后缀筛选：只显示感兴趣的文件类型
- 排序功能：按文件名、文件大小排序
- 批量下载：支持选中下载和全部下载，保留原始目录结构
2.5 高级特性
| 特性 | 说明 |
| — | — |
| 自定义请求头 | 可添加 Cookie、Token 等认证信息，应对鉴权场景 |
| HTTP 代理预览 | 内置本地代理，支持 HEAD/Range/206 Partial Content，流式预览 |
| HTTPS 证书兼容 | 通过 ignore.ssl 配置处理过期或自签名证书 |
| 配置面板 | 可视化配置 FFmpeg 路径、kkFileView 地址等 |
| 运行日志 | 按日期+域名归档，完整记录请求/响应/文件信息 |
三、技术架构解析
OSSFileBrowse 采用纯客户端架构，所有预览操作均在本地完成：
┌─────────────────────────────────────────────────┐
│ OSSFileBrowse │
│ ┌──────────┐ ┌──────────┐ ┌───────────────┐ │
│ │ JavaFX │ │ 本机HTTP │ │ 文件预览引擎 │ │
│ │ 界面 │ │ 代理 │ │ (多格式解码) │ │
│ └──────────┘ └──────────┘ └───────────────┘ │
│ │ │ │ │
│ └────────────┼───────────────┘ │
│ ▼ │
│ 内存文件缓存 │
└──────────────────────┬──────────────────────────┘
│
▼
云端存储桶 (OSS/S3 等)
核心技术栈：
- JavaFX — 跨平台图形化界面
- 本机 HTTP 代理 — 实现流式预览，支持 Range 请求
- PDFBox — PDF 文档渲染
- Apache POI — Office 文档解析
- Commons Compress + Junrar — 压缩包处理
- JavaCV/FFmpeg — 音视频解码播放
- kkFileView — 可选的在线预览服务（非强制依赖）
四、快速上手
4.1 运行环境
- JDK 11+（推荐 JDK 17）
- Windows / Linux / macOS 全平台支持
4.2 启动方式
# 基础启动
java -jar OSSFileBrowse.jar
# 指定编码（旧版本需要，v2.0已优化）
java -Dfile.encoding=UTF-8 -jar OSSFileBrowse.jar
首次运行会在当前目录生成 config.properties 配置文件。
4.3 基本使用流程
- 输入存储桶地址 — 例如
https://example-bucket.oss-cn-hangzhou.aliyuncs.com - 加载文件列表 — 点击加载按钮，工具自动遍历所有对象
- 浏览/搜索 — 使用左侧目录树或搜索框定位文件
- 预览/下载 — 双击文件在线预览，右键可下载
- 敏感扫描 — 一键扫描敏感信息，生成报告
五、适用场景
- 红队渗透测试: 快速验证存储桶遍历漏洞的危害程度，从海量文件中定位敏感数据。
- 蓝队安全评估: 自查企业云上存储桶配置，及时发现暴露的敏感文件。
- 漏洞危害证明: 向甲方直观展示漏洞影响，生成专业的泄露报告。
- 应急响应: 在数据泄露事件中快速盘点受影响的文件范围。
六、版本演进
v2.0（2026.07.24）— 脱胎换骨的大版本
- 全面优化界面布局
- 新增敏感字段搜索（HaE规则）
- 内置多格式预览，移除kkfileview强制依赖
- 压缩包多层嵌套展开
- 音视频播放器（JavaCV/FFmpeg）
- 后台任务执行，大幅提升响应速度
- 批量下载、配置面板、日志归档…
v1.1（2024.07.25）
- 新增 TreeView 文件树浏览
- 优化后缀显示逻辑
v1.0（2024.05.24）
- 初始版本，支持存储桶加载和文件查看
七、写在最后
OSSFileBrowse 从 2024 年 5 月发布至今，已收获 483+ Star，成为云安全领域一款小有名气的工具。它的诞生源于实际工作中的痛点，也在持续迭代中不断完善。
如果你在渗透测试中经常与对象存储打交道，这款工具值得加入你的武器库。
🔗 项目地址：https://github.com/jdr2021/OSSFileBrowse
⭐ 如果对你有帮助，别忘了给作者一个 Star 支持一下～
安全提示： 本文仅用于技术交流和合法的安全测试。未经授权扫描、访问他人系统属于违法行为，请遵守相关法律法规。
知 识 星 球
星球已过800人，暂不再发放优惠券，如还有需要的师傅可加我VX：S_3had0w，等你一起来学习…！
| Ima知识库名称 | 加入条件 |
| — | — |
| 潇湘信安协同知识库（更新~ing!） | 限时免费 |
| 潇湘信安学习资料库（更新~ing!） | ≥3年粉丝 |
| 潇湘信安内部知识库（更新~ing!） | 星球成员 |
| | |
| — | — |
| | |
往期推荐工具
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：Hack分享吧 jdr2021
jdr2021《OSSFileBrowse：红队渗透测试中的存储桶遍历漏洞利用神器》