Write up: Firebase Database Exposed by Misconfiguration

Thursday. February 24, 2022 - 1 min

Intro

Akhir-akhir ini, saya tertarik untuk mempelajari App Mobile Pentest. App Mobile Pentest merupakan suatu kegiatan mensimulasikan serangan yang bisa dilakukan pada suatu aplikasi tertentu untuk menemukan kelemahan pada aplikasi tersebut. Setelah mempelajari sedikit metode melakukan Mobile App Pentest, saya mulai mencari aplikasi random di play store untuk proses belajar. Saya mencoba mencari celah pada suatu aplikasi driver online lokal pada kota tempat inggal saya, dan saya menemukan Database firebase yang ter ekspose.

Proof of concept:

1. Download Apk file target menggunakan ekstensi tambahan dari browser, dengan memasukkan link play store aplikasi target.

2. Scanning file apk dengan menggunakan ‘apkleaks’.

   ┌──(ndraw㉿ndraw)-[~]
   └─$ apkleaks -f /mnt/d/app/target.apk
   

   

3. Saya mendapatkan end-point firebase aplikasi tersebut. Untuk melihat apakah ada kesalahan konfigurasi pada pada firebase, cukup tambahkan (.json) ke url firebase.

4. Firebase database terekspose karena kesalahan konfigurasi

Impact

Sejak firebase database salah di konfirgurasi, semua orang dapat melihat data basenya.