AK/SK 思路

0x01 概念

AK/SK用于在通过对象存储服务API（一个提供存储能力的web服务接口）访问存储数据时，生成鉴权信息进行安全认证。
AccessKey包括AccessKeyID和AccessKeySecret两部分，AccessKeyID用于标识用户，AccessKeySecret用于验证用户的密钥，主要用于程序方式调用云服务API。

🌰 使用AK/SK访问OSS
对象存储服务（Object Storage Service，OSS），OSS是一种云存储服务，适合存放任意类型的文件。

常见对象存储服务OSS厂商

- 腾讯云

- 七牛云

- 阿里云

- 百度bos

- AWS S3

- 又拍云

- Azure blob

- ……

0x02 AK/SK 获取思路

1、APK文件反编译

这是一道CTF题，思路：给出APK文件 -> 反编译 -> 翻文件搜索关键词查找敏感信息泄露

- apktool工具：获取资源文件，可以提取出图片文件和布局文件等进行使用查看。

- 包括源代码、图片、XML配置、语言资源等

- 查看配置文件：

- 🌰 string.xml
  - - strings.xml是一个字符串资源文件，所有的界面字符串应该在这个文件中指定，这样可以在一个位置管理所有界面字符串，让字符串的查找、更新和本地化变得更加容易，同时也可以节省空间资源。
  - - string.xml一般在res\values路径下，既然是管理资源的文件，说到资源就会想到 -> 存储方式，可以在string.xml中尝试寻找对象存储服务（OSS）的AccessKey