CRITICAL AWS SECURITY

路径斜杠攻击
身份验证绕过

一名安全研究员利用 AWS API Gateway 中路径末尾斜杠（trailing slash）的差异性处理，成功绕过身份验证机制，触发未授权 API 调用。这个看似微小的配置细节，最终导致了严重的权限绕过漏洞。

CWE-306: Missing Authentication for Critical Function

漏洞赏金

$12,000

通过 AWS Vulnerability Research Program 获得

Severity

HIGH

Component

API Gateway

01 / VULNERABILITY

漏洞原理分析

AWS API Gateway 在处理资源路径时，对末尾斜杠的处理存在不一致性，这导致攻击者可以绕过配置的身份验证规则。

PROTECTED

              GET
              /api/v1/users
            
Authorization: Bearer xxx

身份验证通过

请求匹配 /api/v1/users 规则，需要有效授权令牌

BYPASS

              GET
              /api/v1/users/
            
Authorization: None

身份验证绕过

末尾斜杠使路径匹配规则失效，API 直接返回数据

技术细节

AWS API Gateway 路由匹配

当开发者为 API Gateway 配置资源路径时，通常不会同时定义带斜杠和不带斜杠的两种版本。API Gateway 的路由匹配逻辑在处理末尾斜杠时，将其视为不同的端点。

/users 和 /users/ 被认为是不同的资源路径，而后者可能未配置身份验证要求。

身份验证配置

/api/v1/users — 配置了 Cognito/Lambda 授权
/api/v1/users/ — 未配置或意外遗漏
攻击者利用路径规范化差异，直接访问敏感数据

02 / ATTACK FLOW

攻击流程还原

从发现到利用，攻击者如何利用这个看似微小的配置漏洞获取未授权访问权限。

01

路径枚举发现

攻击者使用自动化工具对目标 API 进行路径枚举，尝试各种变体包括不同大小写、特殊字符和尾部斜杠。发现 /users 返回 401 未授权，而 /users/ 返回 200 OK。

Tools: ffuf, dirsearch, or custom wordlists

02

漏洞验证

绕过身份验证后，攻击者可以枚举 API 端点结构，发现更多未受保护的路径。通过添加末尾斜杠，成功调用原本需要授权的 API 方法，包括用户列表查询、数据导出等敏感操作。

# 正常请求（需要授权）
curl /api/v1/admin/users → 401 Unauthorized
# 绕过请求（无需授权）
curl /api/v1/admin/users/ → 200 OK + Data

03

未授权访问敏感数据

利用该漏洞，攻击者成功访问了多个敏感端点，包括用户身份信息、交易记录、系统配置等。这种权限绕过可能导致数据泄露、业务逻辑操纵，甚至横向移动至其他服务。

PII Data Transactions Admin Access

03 / IMPACT & RECOGNITION

影响评估与赏金

风险等级评估

数据完整性影响 HIGH

机密性影响 CRITICAL

可用性影响 LOW

影响范围 CHANGED

CVSS 3.1 评分

基于漏洞严重性计算

8.6

HIGH

赏金明细

$12,000

总奖金

基础奖励 $8,000

完整性加成 $2,000

有效利用证明 $2,000

奖程序

AWS Vulnerability Research Program

04 / PREVENTION

防护建议

如何避免类似的安全漏洞？以下是开发者和安全团队需要关注的关键点。

标准化路径处理

在应用程序层实现一致的路径规范化逻辑，确保所有斜杠变体（有/无/多）都被映射到相同的端点。

默认拒绝策略

采用"默认拒绝"的安全策略，所有 API 端点在明确配置之前都应拒绝访问，而非默认开放。

自动化安全测试

在 CI/CD 流程中集成路径模糊测试，自动检测常见的路径变异绕过漏洞。

API Gateway 审计

定期审查 API Gateway 配置，确保资源路径和授权规则完整覆盖所有变体形式。

安全配置示例

# 使用 AWS CLI 配置资源授权（覆盖所有 URL 变体）

aws apigateway update-resource \

--rest-api-id {api-id} \

--resource-id {resource-id} \

--patch-operations \

op=replace,path=/authorizationType,value=AWS_IAM

# 配置路径规范化规则

$DEFAULT_URL_NORMALIZATION = MERGE_SLASHES_AND_REMOVE

路径斜杠攻击 身份验证绕过