Os escribo este post para compartir con vosotros una herramienta que he escrito. Se trata de un script en python que explota bases de datos Firebase vulnerables/mal configuradas. Me he inspirado en la investigación de appthority y el posterior artículo de thehackernews.

Mi script en python adopta un enfoque diferente al utilizado por los investigadores anteriormente citados: mediante la api (no oficial) de dnsdumpster y el escáner online disponible en pentest-tools se obtienen diversos subdominios de firebaseio.com asociados con sus correspondientes bases de datos. Algunas de estas bases de datos, quizás a propósito o quizás no, son accesibles sin requerir ningún tipo de autenticación, tal y como descubrieron en appthority.

Otra opción más interesante que he implementado es intentar escanear DBs de firebase mediante el recopilatorio del millón de sitios web más destacados de Alexa.
 

Requisitos (módulos python no-estándar):

• dnsdumpster
• bs4
• requests

Instalación:

git clone https://github.com/Turr0n/firebase.git
 cd firebase
 pip install -r requirements.txt

Uso:
 

python3 firebase.py [-h] [--dnsdumpster] [-d /path/to/file.htm] [-o results.json] [-l /path/to/file] [-c 100] [-p 4]

Argumentos:

    -h      Show the help message
     -d      Absolute path to the downloaded HTML file.
     -o      Output file name. Default: results.json
     -c      Crawl for domains in the top-1m by Alexa. Set how many domains to crawl, for example: 100. Up to 1000000
     -p      How many processes to execute. Default: 1
     -l      Path to a file containing the DBs to crawl. One DB name per line. This option can't be used with -d or -c
     --dnsdumpster       Use the DNSDumpster API to gather DBs
     --just-v    Ignore "non-vulnerable" DBs
     --amass Path of the output file of an amass scan ([-o] argument)