产品咨询：4000 258 365
|
申请产品演示
|
产品咨询：4000 258 365
|
申请产品演示
|
dalil是一款类似于truecaller的智能电话本应用程序，但仅限于沙特和其他阿拉伯地区用户。由于该应用所使用的mongodb数据库可以在不输入密码的情况下在线访问，导致用户数据持续泄露一周时间。该漏洞由安全研究人员ran locar和noam rotem发现，在数据库中包含了这款app的所有数据，从用户个人详细信息到活动日志。
外媒zdnet对样本进行审查之后，发现该数据库中包括以下信息
● 用户手机号码
● 应用注册数据（完整姓名、电子邮件地址、viber账号、性别等等）
● 设备信息（生产日期和型号、序列号、imei、mac地址、sim号码、系统版本等等）
● 电信运营商细节
● gps坐标（不适用于所有用户）
● 个人通话详情和号码搜索
基于与每个条目相关联的国家/地区代码，数据库中包含的大多数数据属于沙特用户，此外还有少部分用户来自埃及，阿联酋，欧洲甚至一些以色列/巴勒斯坦人。显然这些数据非常的敏感，甚至可以通过gps坐标数据进行跟踪。
数据库仍然暴露大约585.7gb的信息。 locar说每天都会添加新记录，这意味着这是应用程序的生产服务器，而不是废弃的测试系统或冗余备份。研究人员告诉zdnet，仅在上个月就已经注册了大约208,000个新的独特电话号码和4400万个应用事件根据play商城显示的app信息，dalil的下载次数已经超过5
试用申请
