文章首发于：
火线Zone社区（https://zone.huoxian.cn/）
Blob配置错误-公开访问
在创建存储账户时，默认是启用Blob公共访问的，当创建容器的访问级别配置为容器（匿名读取访问容器和blob）时，就会导致匿名请求枚举容器中的 blob。
当配置访问级别为专用或禁用Blob公共访问时，提示ResourceNotFound。
当配置访问级别为Blob(仅匿名读取访问blob)时，可以读取容器中的blob，但是不可以枚举。
使用DNS枚举
每个资源终结点都是<存储帐户>.blob.core.windows.net
存在时，可以解析
不存在时，无法解析
使用Dns 枚举进行发现
python dnscan.py -d blob.core.windows.net -w subdomains-100.txt
Bucket Object 遍历
当创建容器的访问级别配置为容器（匿名读取访问容器和blob）时，就会导致匿名请求枚举容器中的 blob。
account keys泄漏
-
Github代码中泄露
-
网站JS代码
子域名接管
创建好Blob后自定义域，即可以通过自定义域去访问资源。
当删除该存储账户后访问。
再次创建相同的存储账户去接管子域名。
【火线Zone云安全社区群】
进群可以与技术大佬互相交流
进群有机会免费领取节假日礼品
进群可以免费观看技术分享直播
识别二维码回复【社区群】进群
【火线zone社区周激励】
2022.2.21 ～ 2022.2.27公告
【相关精选文章】
火线Zone是[火线安全平台]运营的云安全社区，内容涵盖云计算、云安全、漏洞分析、攻防等热门主题，研究讨论云安全相关技术，助力所有云上用户实现全面的安全防护。欢迎具备分享和探索精神的云上用户加入火线Zone社区，共建一个云安全优质社区！
如需转载火线Zone公众号内的文章请联系火线小助手：hxanquan（微信）
微信号
huoxian_zone
点击阅读原文，加入社区，共建一个有技术氛围的优质社区！
原文始发于微信公众号（火线Zone）：【云安全】微软云对象存储攻防
