7月份上海经济开始复苏，一些在上海做APP项目的客户开始了一系列的营销推广和开发。在众多渠道的推动下，用户下载安装APP的同时，一些安全漏洞频发，被资深黑客盯上。数据泄露攻击的具体症状是:用户刚注册的手机号、姓名、身份证号等信息被泄露，很快就会收到来自海外香港的电话推广和网络诈骗。而且一些用户的数据被恶意篡改，给APP运营平台造成了很大的损失。比如有些用户的贷款额度被篡改成20w额度。APP项目方发现问题后，立即找到网站漏洞修复服务商，提供全面的安全应急响应服务，要求尽快查明漏洞问题原因，追溯攻击源头。
得知上述情况后，我们立即安排技术团队对APP项目整体运维相关的服务器以及数据库、API接口服务器、落地推广服务器、H5域名等信息进行了梳理和收集，并仔细查询了这类数据被盗、泄露、篡改的最早时间以及造成的损失，以及管理员的第三方安全调查和记录。通过对本项目运维人员的了解，发现所有服务器都使用Linux系统，项目App的架构语言采用java+Vue开发，API接口也采用java开发。而且运维人员通知程序员，所有的代码修改和调试都要在官方服务器的测试环境下进行。简单来说就是代码开发人员在使用项目中的服务器调试修改代码。通过我们的工程师进行人工审计和扫描，我们发现服务器已经打开了8099、22、3306、21、80、443、8080等端口。经阅读，端口8099用于GItlab系统，程序员用来修改App代码和同步代码，端口22用于运维技术和开发人员登录服务器的SSH端口。306是部分Mysql测试数据库和官方数据库使用的端口，21是程序员上传文件使用的Ftp服务端口，80和443是API接口和app项目访问外部用户使用的服务，8080是程序员调试App接口使用的端口。
通过我们前期的信息收集，一定不能留下一些细节，一个小问题就会导致一个漏洞。我们尝试了gitlab默认账号root的项目共享URL，发现root共享的项目中含有App源代码。我们马上用SINESAFE技术打包下载到自己的电脑上，用java代码深度解析了一些配置文件。我们发现了阿里云oss的一些关键和关键信息。我们尝试使用阿里云oss密钥和密钥发现。这个密钥有非常大的权限，可以直接获取当前阿里云账号下的所有服务器信息，以及所有阿里云服务管理权限。
此时此刻，这个漏洞危害之大，可以控制阿里云账号下的所有服务器。就是因为这个漏洞，我们一开始介绍的客户被攻击了。为什么用户刚注册的信息马上就泄露了？根本原因就是这个阿里云oss密钥和密钥泄露问题，导致黑客直接登录服务器查看数据库。并从数据库中实时提取用户的手机号、姓名、身份证号，出售给第三方。第三方使用海外香港电话进行营销和在线欺诈。目前已经形成了产业链。鉴于此漏洞，我们让客户确认上图中的服务器是否在客户账户下。经项目运维技术确认，均为其阿里云账户下的服务器。由于运维技术可能不相信我们SINESAFE的技术实力，我们在渗透测试安全服务之初就被告知，知道服务器IP是没有用的，你必须真正获得服务器管理员的许可。客户授权后，在不影响公务运行的情况下，我们使用阿里云的key和key执行SHELL命令，以root权限直接进入服务器。发现数据库部署在172.18.17.165的内网，通过历史获取了用户的一些历史操作命令，包括Mysql的数据库账号和密码。一开始我们发现服务器对外开放了3306端口。我们得到这些数据库账号信息后，立即远程连接mysql，查看App的所有数据库内容。截图如下:
这时候客户的运维技术，看到我们发的这个截图后，马上改口说:“是啊，真的很牛逼。是专业的网站安全服务提供商。到目前为止，整个溯源和漏洞问题都找到了，后续客户直接签约了长期的APP渗透测试服务和安全加固服务。通过后续服务，我们的技术还发现API接口存在一些未授权的漏洞，可以查看超出我们权限的用户信息。APP的用户信息可以被泄露和篡改。比如用户的金额也可以通过这个接口漏洞直接修改为任意金额。APP的消息反馈功能中还有XSS跨站攻击，导致黑客在后台获取会话值和cookie值，可以直接登录后台。一些接口指令也直接暴露在前端。因为开发者没有安全意识，只是把一些备份文件放在网站的根目录下，通过一些爬虫工具，就可以得到这个备份文件。文件包含了大量的代码信息，这样的漏洞太多了。如果有遇到这类问题的朋友，记得仔细检查每一个细节和功能。所有与数据库相关的服务器或网站或app都必须仔细检查漏洞，因为这些都是黑客的入口。入口越多，黑客的成功率越大。如果你做不到。
