Firebase后端配置错误导致大量应用程序敏感数据泄露
移动安全公司 Appthority 本周发布报告称,由于 Firebase 数据库配置错误,导致数以千计的 iOS / Android 应用程序泄露了超过 113GB 的数据。 Firebase 是 Google 提供的“后端即服务”产品,其中包含了大量发服务,旨在方便移动开发人员创建基于这些服务的移动或 Web 应用。
Firebase 深受顶级 Android 开发者的欢迎, 因为它提供了云消息传递、推送通知、数据库、分析、广告、以及其它更多后端和 API 。 开发者们可以轻松嵌入自己的项目,并受益于 Google 的大规模高性能应用系统。
然而 Appthority 在扫描了 270 万款移动 app 后发现,其中存在着大量的问题。
从 2018 年 1 月开始, Appthority 的研究人员开始对使用 Firebase 系统的移动应用程序进行扫描 ,以存储用户数据和分析 app 对 Firebase 域请求的通信模式。
研究人员特别搜索了连接到基于 Firebse 的 JSON URL 的应用。然而在直接访问时,却发现其允许任何未经授权的第三方查看所有应用的数据。
研究人员扫描了超过 270 万个 iOS / Android 应用程序后, 发现了 28502 个移动 app 在使用 Firebase 后端连接并存储数据 (含 27227 个 Android / 1275 款 iOS 应用)。
其中的 3046 款 app(2446 个 Android / 600 款 iOS 应用),将数据保存在了 2271 个错误配置的 Firebase 数据库中,从而允许任何人查看其中的内容。
数据库一共暴露了 1 亿多条用户数据记录,泄露信息总量达到了 113GB 以上,其中包括: ● 260 万个明文密码和用户 ID;
● 超 400 万受保护的健康信息(PHI)记录 -- 含聊天消息与处方细节;
● 2500 万 GPS 地理位置记录;
● 5 万财务信息 -- 含银行、支付与比特币交易记录;
● 450 万 Facebook、LinkedIn、Firebase 等企业数据存储用户口令。
Appthority 指出, 仅在 Google Play 商店,Android 版本的 app 就已经被下载了超过 6.2 亿次, 表明一些非常受欢迎的 app 都在这些漏洞后端上运行。
万幸的是,在发布报告之前,Appthority 已提前向 Google 知会这一问题,并且提供了受影响的 app 和 Firebase 数据库 服务器 列表。
实际上,这并不是 Appthority 首次发现应用程序后端服务器暴露关键用户数据:
去年,该公司在发布的《HospitalGown》报告中透露,有超过 1000 款应用程序通过 MongoDB、Redis、CouchDB、Elasticsearch 和 MySQL 后端服务器,暴露了超过 43TB 的用户数据。
同样在去年,Appthority 研究人员发现,数十名开发者已经在围绕 Twilio 服务构建的数百个 app 中留下了 API 凭证,暴露了客户的私人通话记录和短信。
PS4往日不再总监表示很快就会公布往日不再SONYBendStudio的开放世界动作冒险游戏往日不再(DaysGone)在今年早些时候宣布延期到了2019年,很多玩家感到失望,不知道要到什么时候才能玩到这款游戏了。不过,在
暴雪与乐高成合作将推出更多守望先锋周边前段时间里,暴雪和优衣库合作推出的暴雪主题T恤不知道大家都有没有买到自己喜欢的?如果没买到的话今天的消息可能会让你高兴一阵子就在昨天,暴雪官方发出声明称自己旗下的注明游戏IP守望先
海贼王伟大航行登陆PSVR平台!12岁以下别玩今日,万代南梦宫宣布海贼王伟大航行(OnePieceGrandCruise)登陆PSVR平台,海贼王伟大航行主要包括两大机制,一个是角色互动,另一个则是战斗机制。在海贼王伟大航行V
任天堂推第二台Switch套装少点配件省钱约300元任天堂宣布将在日本发布Switch的ldquo第二台套装rdquo。ldquo第二台套装rdquo仅包括Switch左右joyCon以及两个joyCon腕带,售价24980日元(折
刀剑神域亚丝娜性感泳装手办肤白貌美刀剑神域中的女神亚丝娜上得战场,下得厨房,深受动漫迷们的喜爱。官方也是频频推出各种亚丝娜的手办,从战斗到家居各种装束都有,这次为大家介绍的是一款非常应景的亚丝娜泳装手办。这次的泳装
Fami通一周评分苍翼默示录35分进入白金殿堂本周Fami通评分已经出炉,本期只有PS4Switch苍翼默示录交叉组队战以35分的成绩进入白金殿堂。万代南梦宫旗下漫改作品全金属狂潮谁与争锋(FullMetalPanic!Fig
天命奇御传奇门派曝光玩家可自由决定走向今日,由甲山林娱乐自制的武侠单机游戏天命奇御又爆料出了新的游戏内容。官方为让玩家深入了解本作高潮迭起的故事剧情及刺激爽快的实时战斗,放出了游戏中的传奇门派mdashmdash藏墨三
E3史上最智障宣传片极其鬼畜的毁灭公爵三部曲作为全球性的游戏展会,每年都会有不少厂商在E3上释出游戏预告来进行宣传。而每当到了这个时候,我都会想起2008年E3展上一支莫名其妙的宣传片,称它智障也不为过。游戏的名称是毁灭公爵
外设厂Scuf推出VantagePS4精英手柄价格也很精英!今日第三方外设厂商Scuf公布了一款全新的为PS4游戏机打造的定制版ldquo精英rdquo手柄,theVantage。这款手柄也是第一款在北美和加拿大地区获得正式授权的第三方无线
马力欧疯狂兔子王国之战即将迎来新DLC育碧宣布了NS独占游戏马力欧疯狂兔子王国之战将在6月发售全新DLCldquo森喜刚的冒险rdquo,游戏将包含全新角色ldquoDK森喜刚rdquo和ldquo疯兔爷爷刚rdquo
微软西雅图特奥会将增设Xbox游戏锦标赛项目美国奥组委宣布将和微软合作,在2018年西雅图特奥会上首次增设Xbox游戏锦标赛为表演项目。Xbox部门老大PhilSpencer在声明中表示ldquo在微软我们相信游戏是为所有人