Firebase后端配置错误导致大量应用程序敏感数据泄露
移动安全公司 Appthority 本周发布报告称,由于 Firebase 数据库配置错误,导致数以千计的 iOS / Android 应用程序泄露了超过 113GB 的数据。 Firebase 是 Google 提供的“后端即服务”产品,其中包含了大量发服务,旨在方便移动开发人员创建基于这些服务的移动或 Web 应用。
Firebase 深受顶级 Android 开发者的欢迎, 因为它提供了云消息传递、推送通知、数据库、分析、广告、以及其它更多后端和 API 。 开发者们可以轻松嵌入自己的项目,并受益于 Google 的大规模高性能应用系统。
然而 Appthority 在扫描了 270 万款移动 app 后发现,其中存在着大量的问题。
从 2018 年 1 月开始, Appthority 的研究人员开始对使用 Firebase 系统的移动应用程序进行扫描 ,以存储用户数据和分析 app 对 Firebase 域请求的通信模式。
研究人员特别搜索了连接到基于 Firebse 的 JSON URL 的应用。然而在直接访问时,却发现其允许任何未经授权的第三方查看所有应用的数据。
研究人员扫描了超过 270 万个 iOS / Android 应用程序后, 发现了 28502 个移动 app 在使用 Firebase 后端连接并存储数据 (含 27227 个 Android / 1275 款 iOS 应用)。
其中的 3046 款 app(2446 个 Android / 600 款 iOS 应用),将数据保存在了 2271 个错误配置的 Firebase 数据库中,从而允许任何人查看其中的内容。
数据库一共暴露了 1 亿多条用户数据记录,泄露信息总量达到了 113GB 以上,其中包括: ● 260 万个明文密码和用户 ID;
● 超 400 万受保护的健康信息(PHI)记录 -- 含聊天消息与处方细节;
● 2500 万 GPS 地理位置记录;
● 5 万财务信息 -- 含银行、支付与比特币交易记录;
● 450 万 Facebook、LinkedIn、Firebase 等企业数据存储用户口令。
Appthority 指出, 仅在 Google Play 商店,Android 版本的 app 就已经被下载了超过 6.2 亿次, 表明一些非常受欢迎的 app 都在这些漏洞后端上运行。
万幸的是,在发布报告之前,Appthority 已提前向 Google 知会这一问题,并且提供了受影响的 app 和 Firebase 数据库 服务器 列表。
实际上,这并不是 Appthority 首次发现应用程序后端服务器暴露关键用户数据:
去年,该公司在发布的《HospitalGown》报告中透露,有超过 1000 款应用程序通过 MongoDB、Redis、CouchDB、Elasticsearch 和 MySQL 后端服务器,暴露了超过 43TB 的用户数据。
同样在去年,Appthority 研究人员发现,数十名开发者已经在围绕 Twilio 服务构建的数百个 app 中留下了 API 凭证,暴露了客户的私人通话记录和短信。
战地5设定集售价39。99美元10月16日发售即将于科隆展上公布更多情报的战地5推出了最新的艺术设定集,售价39。99美元,封面也已经公布。DarkHorseBooks和EADICE推出的艺术集TheArtofBattlefi
Switch版美妙世界FinalRimix9月27日发售SE打造的游戏美妙世界FinalRimix今日公布了发售日期,将于2018年9月27日登陆NintendoSwitch,售价4800日元税。传达了美妙世界FinalRimix世界观
因戏结缘的权力的游戏情侣档基特middot哈灵顿和萝斯middot莱斯利近日在苏格兰女方的城堡举办了婚礼,权游中的很多演员都被邀请参加了二人的婚礼,来看看婚礼现场的照片,真是一大票
皇牌空战7新截图美国尖端歼击机亮相画质爆表BNGI阔别多年的正统系列续作皇牌空战7公布最新截图,美国以及世界各国将在游戏虚构的世界展开世界大战,本次画面出现了美国尖端歼击机轰炸机,加上虚幻4引擎加持画质让驾驶舱视角异常逼真
堡垒之夜起诉前员工泄密游戏内容要求经济赔偿近日,堡垒之夜开发商EpicGames将一位前员工告上法庭,因其作为游戏测试员时涉嫌泄密游戏重要内容。该员工名为ThomasHannah,2017年12月加入了游戏工作室,在今年的
复仇者联盟4首部预告年底公布死掉的英雄不会登场漫威影业主席凯文费奇出席蚁人2首映向媒体记者公布了大量复仇者联盟4情报,因为漫威影业今年不会在SDCC以及迪士尼D23公开任何新作,所以复仇者联盟4预告片以及它的名称将在年底公布,
星战6绝地归来原版道具爆能枪拍出55万美元在1983年上映的星球大战6绝地归来扮演韩middot索罗的哈里森middot福特使用的原版ldquoDL44重型爆能手枪道具在上周末JulienrsquosAuctions(朱利
奇异人生2上架Steam全季购买需252元奇异人生2已经在Steam上架并公布了预购价格。购买全季(包括第一章到第五章的内容)价格为252元。奇异人生2第一章将在2018年9月27日发行。第二章至第五章将在之后发行。预购奇
AI有望进军电竞?马斯克AI团队打败Dota人类玩家继星际争霸这类即时战略游戏之后,AI开始挑战Dota2游戏的人类玩家了。马斯克创立的AI研究团队已经制作了一款软件,能在Dota2中击败技术高超的人类玩家。或许不久的未来,在Dot
以撒的结合新作以撒的结合四魂公布知名游戏制作人EdmundMcMillen公布了以撒的结合新作以撒的结合四魂(BindingofIsaacFourSouls)。不过关于这款游戏的介绍很迷,根据E胖在推特上的介绍,
堡垒之夜新限时模式或明日开启可复活且误伤友军上个月,Epic公布了堡垒之夜大逃杀将引入的最新限时模式ldquoPlaygroundrdquo(游乐场)模式,给予玩家ldquo额外的时间rdquo探索地图更多区域,你可以游览平