Firebaseの設定ミスは、フロントエンドがデータベースエントリを直接書き込もうとすることから生じることが多いけど、これらの開発者は古いスタイルのバックエンドで構造化されたオブジェクトをFirebaseに送信していたから、その問題はある程度軽減されていたみたいだね。

「sqlmapのことは聞いたことがあったけど、こんなに使えるとは思わなかった。ブログでは、今の時代には誰も自分でデータベース統合を作らないから、sqlmapがほとんど役に立たなくなったって正しく説明してるけど、あの頃は本当に複雑なウェブサービスはほぼ全てsqlインジェクションに弱かった気がする。sqlmap用の小さなラッパーを書いて、スクレイパーの結果に接続させて、サーバーに送られるデータ全てに対して一晩中走らせれば、翌日には選べるエントリーポイントがたくさんできてた。WAFにもある程度対応してたし。もう数年ITセキュリティから離れてるけど、sqlmapのコマンドライン引数は昨日のことのように覚えてるよ。」

同意するよ、こういう調査やデータ抽出がここまで抽象化されてるとは驚きだね。何年もかけて進化してきたのは驚かないけど、こんなに簡単になったとは思わなかった。

「sqlmapのことは聞いたことがあったけど、データベースにアクセスするURLを渡すだけで、ツールがSQLインジェクションの脆弱性があればデータベースの内容をダンプする方法を基本的に見つけてくれるとは思わなかった。」セキュリティについて人に伝えたい教訓が一つあるとしたら、敵を過小評価しないことだね。彼らは他の分野と同じように何十年もツールを作ってきたんだ。システムの穴を見つけて、任意の制約されたシェルコードの断片を実行できるようにする技術は、特別なものじゃなくて、オフ-the-shelfの技術なんだ。基本的なビルディングブロックだよ。実際に洗練された攻撃者はそこから積み上げていく。もし$YOUが、スクリプトキディたちがサーバーに対してWordpressの脆弱性を無差別に攻撃するのが攻撃者の洗練さの頂点だと思っているなら、$YOUは彼らに対して取り返しのつかない不利な状況にいるよ。

sqlmapはDBをダンプする方法を見つけるだけじゃなくて、SQLを解析して、インジェクションペイロードに変換してサーバーで実行する便利な「シェル」モードも提供してる。まるでmysqlやsqliteのシェルを持ってるみたい。ファイルを読み込んだり、コマンドを実行したりすることもサポートしてる（サーバーがそれをサポートしていて、DBユーザーが適切な資格情報を持っている場合）。さらに、盲目的なSQLiを悪用する方法も知っていて、そのためのトリックがいくつかある。HTTPエラーコードに基づいてクエリが成功しているか失敗しているかを判断できることが多いし、サーバーをハングさせるためにいろんなSLEEP()インジェクションを試すこともある。盲目的なSQLiの機会を見つけると、並行して大量のリクエストを行うことで、データベース全体を一ビットずつダンプすることができる。HTTPリクエストヘッダーが詰まったファイルを渡すと、自動的に潜在的なインジェクションポイントを見つけて、提供されたヘッダーと同じ形式のリクエストを送信してくれる。適切なMITMプロキシとスクリプトを使えば、SQLインジェクションテストをほぼ自動化できる。リクエストを偽装するオプションや、WAFをバイパスするためのオプション、カスタムプロトコルを使ってリクエストを送信するオプションなど、たくさんの機能がある。全体的に見ても、本当に良く設計されたツールだよ。

このアプリには詳しくないけど、読んだ感じだと、ターゲットの電話に忍び込んで「設定」ロゴのapkをインストールして、全ての権限を与えることに頼っているみたいだね（インストーラーが各権限タイプのフル権限を手動で与えたり、バッテリー最適化を無効にするプロセスを助けるんだと思う）。Androidは、そういうアプリにフル権限を手動で委譲することを許可しているんだ。

自分で悪意のプロキシや悪意のWi-Fiホットスポットを設定して、定期的にスマホを接続するのが、こういうマルウェアの検出に役立つかもしれないと思ってる。ちょっとパラノイアの境界に近づいてきたから、試してみようかなって感じ。

そうだね、この一連の行為は完全に違法で、こんなことを公然と（しかも誇らしげに）ブログに書くなんて驚きだよ。今すぐ弁護士に相談した方がいいかもね。