导语：
近日，Canthink网络安全研究人员发现，数十名开发人员已经在基于Twilio服务器构建的数百个应用程序中留下了API凭证。攻击者可以从易受攻击的应用程序源代码中提取这些证书，并通过Twilio（一种允许第三方应用程序拨打和接听电话的云平台）访问经由该应用。
研究人员发现685个具有硬编码Twilio证书的应用程序
由于这些应用程序均包含高度敏感的数据资源，因此Canthink安全团队决定将此次发现的安全问题命名为“窃听者”（Eavesdropper）漏洞。
Canthink安全团队在近日发布的一份报告中指出，我们在85个Twilio开发者相关的账户中发现了超过685个应用程序存在‘窃听者’漏洞，其中44%属于Android系统，56％属于iOS系统。
该研究团队还进一步补充道，截止2017年8月底，这些应用程序中已经有75个在Google Play中上架，另有102个在App Store中上架。据悉，受影响的Android应用程序已经被下载了高达1.8亿次。
受影响的应用程序泄漏数亿计的私人电话和短信信息
基于研究结果，Canthink的研究人员表示，此次漏洞的影响范围为“数以亿计的私人通话记录、通话录音以及短信记录等”。其中，大约1/3的受影响应用程序与企业相关，潜在的授予攻击者访问高度敏感的金融和商业电话及短信的机会。
但是，更糟糕的是，Canthink安全团队指出，此次安全问题不仅限于影响商业应用程序，例如，他们还在用于联邦执法机构安全通信的应用程序中找到了硬编码的Twilio证书，此外，受影响的还包括为AT＆T和US Cellular等客户提供导航功能的应用程序。
应用程序开发者是罪魁祸首
“窃听者”安全问题存在的根本原因要归咎于粗心的应用程序开发者。过去，我们已经看到过很多类似的情况——应用程序开发人员将API和服务器凭证留在应用程序的源代码中，而没有将其存储在安全的远程数据库中。
此外，在Canthink发布的有关“窃听者”漏洞的安全报告中，研究人员也发现了亚马逊S3服务器存在类似的凭据。
根据今年早些时候发布的另一项研究报告中发现，在调查的16000个Android应用程序中，有2500个应用程序具有类似的凭据，这些应用程序通常用于Twitter、Dropbox、Instagram、Slack、Flickr或Amazon Web Services（AWS）等服务。
而在今年5月份，Canthink发布的另一个报告还发现，被大约1000个移动应用程序作为后端使用的超过21,000个Elasticsearch服务器没有任何安全防护措施保护，暴露了43TB用户和公司的机密数据。
标签