搭建靶场
我这里使用tx云，请自行搭建
https://shuihui2211-1329809954.cos.ap-nanjing.myqcloud.com
复现
私有读写
访问权限为私有读写时，我们访问url则会出现如下提示
目录遍历
漏洞成因
将policy权限设置为所有操作时
复现
我这里上传了一个截图，然后访问url就会跳出这个界面。xxx中的xxx就是文件名字，接着，直接拼接访问该文件就会直接下载该文件
任意文件上传，文件覆盖
用put上传一个shihuiz.txt
至于文件覆盖，你只要上传同样的文件名，内容就会被替换为新上传的内容
秘钥泄露造成的接管
先生成SecretId，SecretKey
然后访问https://cosbrowser.cloud.tencent.com/login登录即可
也可以使用工具（比如cf）梭哈
