![](https://habrastorage.org/webt/lr/ui/qk/lruiqkxucn7rtidbmmah3z1qamy.png)
Вам не понадобится много времени, чтобы найти утёкшие в сеть базы данных Firebase. Печально, что после всех сливов и скандалов не заметно, чтобы Google пытался что-то изменить. Goon Security, одна из компаний, занимающихся информационной безопасностью, решила в очередной раз напомнить про незащищённость Firebase. И за 12 часов собрала более 13 000 000 записей, включая электронные письма, пароли, номера телефонов и личные сообщения из более чем 450 баз данных.
Специалисты компании использовали GasLeak — простой, но удобный инструмент, эксплуатирующий особенности работы базы данных Firebase в режиме реального времени. При создании БД Firebase предлагает пользователю выбрать тестовый режим или «заблокированный». В первом случае любой желающий может читать и делать записи, а во втором чтение и запись ограничиваются. Когда чтение и запись публично разрешены, появляется красное предупреждающее сообщение.
![](https://habrastorage.org/webt/lh/ox/up/lhoxupa1__co9abu5x4j84ei3cw.png)
Забавно, что когда пользователь закрывает это уведомление, оно исчезает и больше уже не появляется. Это означает, что разработчик завершает тестирование и готов перейти в рабочую среду. Соответственно, он должен помнить о том, что БД находится в режиме тестирования. Да, это не вина Google, но из-за непродуманной системы предупреждений злоумышленники получили отличную возможность поживиться за счёт разработчиков.
Доступ к данным обычно осуществляется через файл JSON, как показано на скриншоте ниже:
![](https://habrastorage.org/webt/cl/o3/eg/clo3egdnjtyuuo_b2ook4ht9cmc.png)
Это означает, что даже если база данных открыта, вам пришлось бы подбирать имена файлов, чтобы увидеть хоть что-то. Однако, если опустить имя файла, можно получить _всю базу данных_! Ничего искать не надо, оно уже на ладони.
![](https://habrastorage.org/webt/ex/qc/ob/exqcobq9qwz5n9jweaokiiffvqo.png)
Соответственно, всё, что требуется сделать GasLeak — это воспользоваться уязвимостью путём перебора поддоменов. За основу был взят список слов, созданный благодаря открытой статистике самых популярных сайтов планеты — 1.000.000 вебсайтов от Alexa.
![](https://habrastorage.org/webt/je/z_/we/jez_wen_cgftppbl7_y6w4raoo8.png)
Были обнаружены утечки баз данных объемом в гигабайты и миллионы строк утечки учетных данных. Некоторые из интересных находок описаны ниже.
Номера банковских карт/пароли
![](https://habrastorage.org/webt/gq/jj/vf/gqjjvfcqwqsnuahpvjfknbh66pk.png)
Журналы телефонных звонков/транзакций
![](https://habrastorage.org/webt/re/to/bz/retobzjmfwi6i31xzxtozfbj3oi.png)
Забавно, что эксперты из Goon Security в конце своей кампании по изучению уязвимостей Firebase наткнулись на след, оставленный кем-то из предыдущих «исследователей».
![](https://habrastorage.org/webt/jd/qm/dw/jdqmdwzfpg2ui3g2m_l5sfdnb3m.png)
Интересно, последует ли за этим какая-то официальная реакция? Как бы то ни было, Cloud4Y напоминает: не забывайте про вашу безопасность.