容易被忽视的漏洞

原创

pippybear
pippybear

安全无界

2026年7月19日 20:30
上海

在小说阅读器读本章

去阅读

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

最近瞅hackerone的时候，时不时会遇到Firebase的key，like this。

一般情况这种基本没有啥太大问题，但是就怕两般情况，哈哈，如果apikey配置的权限不当/或者不小心给了其他api权限给到了这个key（同样的Google Map key也可以类似佐证，可能开了不该开的api，比如gemini），那么问题就大了。

可能有兄弟不太清楚Firebase，简单介绍一下：

Firebase 是 Google 推出的一套 BaaS（Backend as a Service，后端即服务） 平台，可以简单理解为【帮你把后端提前做好了】。像用户登录、数据库、文件存储、消息推送等常用功能，Firebase 都已经提供好了，开发者只需要调用对应的服务，就能更快地完成应用开发。

另外为什么会出现配置其他API的情况呢，这个就要看开发者了，有些粗心大意的开发者在GCP中创建key的时候没有限制能访问的API，就会导致这个key的权限泛滥，如下。

所以基于上面这些条件抽时间稍微写了一个小脚本，主要就是判断这个公开配置是否存在问题，大体检查如下几点。

1、是否能读 Firestore 敏感集合；2、是否能列 Storage 根目录/敏感目录；3、apiKey是否能访问其他比如gemini等高价值api；

先直接上运行效果。

小脚本写的比较糙，不过大体能用，主要就是方便佐证一下这个配置是否可利用，总结就是大家看到类似配置，不妨多试试，说不定就爆了呢，拿到巨额赏金，走上人生小巅峰（这个小脚本就不分享了，思路比较简单，就不占各位大佬内存啦）。