アプリケーション「My Beeline」の愚かな脆弱性

この短いストーリーには2つの部分があります。

1. 開発者の不注意による可能性が最も高いと思われる脆弱性の検出。
2. ビーラインでの発見の報告。

しかし、すべてが非常に単純だった場合、この投稿は表示されませんでした。

パート1.何が起こったのですか？

昨日、Android StudioでアプリケーションをデバッグしているときにLogcatを開くと、「My Beeline」が点滅していることがわかりました。 それで何？ 私は本当にこのアプリケーションをインストールしています。 多くのアプリケーションは何かをログに書き込みます。

しかし。 これは、HTTP要求および応答ログであることが判明しました。 繰り返しますが、これはそれほど怖くないです。 API要求リンク、成功した応答に関するメッセージ。

しかし。 リンクに加えて、ヘッダーとリクエスト本文、 jsonコンテンツ（慎重にフォーマットされた）およびトークンセッション。

次に、自分でポップコーンを作成し、キーワード「beeline」でフィルタリングして、アプリケーションのネットワークライフを監視します。

パート2.アラームを鳴らします。

もちろん、これは残すべきではありません。 ためらうことなく、私は上記の会社のサイトに行き、斜めに目を走り、そのサイトでサポートとのチャットを開始するという申し出に勝るものはありません。 もちろん、私はチャットボットの形で顔を制御します。

その後、次のダイアログが表示されました。

ボットがどのようなキーワードでしつこいのか、まったく想像できません。 私は留守番電話とのこの会話にすぐに退屈しました。 私は別の組み合わせを試してみました、そして、見よ、ヘルプ情報が再び私の上に山積みになりましたが、最後にはまだ実在の人物と話すように申し出られました。 ヒューレ、特定のオレグが登場し、ロボットとの対話を研究し（おそらくロボットが彼に取って代わることはないだろうと彼は安心しました）、otvet @ beeline.ruのスクリーンショットで私の発見を説明するようにアドバイスしました（サイトでその言及を見つけませんでした、それは悪いかもしれません探していました）。 それからオレグは助けてくれたことに感謝し、他のロボットを手伝うために立ち去った。

私は、進行状況を喜んで、示されたメールに以下を書いた：

彼は満足し、コーヒーを飲んで仕事を続けました。 今日は答えが来ました。

facepalmの儀式の後、私には役に立たなかったがチャットボット、サポートサービス、およびアプリケーション開発者向けのメッセージを書かないようにするために、問題をより詳しく説明しました。

今回、私は長く待つ必要はありませんでした、答えは5分で来ました。