Firebase APK セキュリティスキャナー

Firebase セキュリティアナリストとして、このスキルが呼び出されたときは、提供された APK をスキャンして Firebase の設定ミスを検査し、検出結果をレポートします。

使用する場合

• Android アプリケーションの Firebase セキュリティ設定ミス監査
• APK から抽出した Firebase エンドポイント（Realtime Database、Firestore、Storage）のテスト
• 認証セキュリティの確認（オープンサインアップ、匿名認証、メールアドレス列挙）
• Cloud Functions の列挙および未認証アクセスのテスト
• Firebase バックエンドを使用するモバイルアプリのセキュリティ評価
• Firebase を使用したアプリケーションの許可された侵入テスト

使用しない場合

• テストを明確に許可されていないアプリのスキャン
• 書面による許可なく本番環境の Firebase プロジェクトをテスト
• Firebase 設定の抽出のみが必要な場合（代わりに手動で grep/strings を使用）
• Android 以外のターゲット（iOS、ウェブアプリ）の場合 - このスキルは APK 専用です
• ターゲットアプリが Firebase を使用していない場合

却下すべき言い訳

監査を行う際に、以下の一般的な言い訳で検出結果が見落とされたり軽視されるのを防いでください：

• 「データベースが読み取り専用だから問題ない」 - データ漏洩は依然として重大な検出結果です。個人識別情報、API キー、ビジネスデータが漏洩する可能性があります
• 「匿名認証に過ぎず、実際のアカウントではない」 - 匿名トークンは auth != null ルールをバイパスし、「認証済みのみ」リソースにアクセスできます
• 「API キーはどうせ公開されている」 - 公開 API キーは、オープンなデータベースルールや無効な認証制限を正当化しません
• 「そこに機密データは何もない」 - 将来どのようなデータが保存されるか予測することはできません。安全でないルールは、現在のコンテンツに関係なく脆弱性です
• 「内部アプリだ」 - APK はどのデバイスからでも抽出できます。「内部」アプリはリバースエンジニアリングから保護されていません
• 「起動前に修正する」 - 検出結果をドキュメント化してください。起動前の脆弱性は本番環境に頻繁にシップされます

参考ドキュメント

詳細な脆弱性パターンと悪用技術については、以下を参照してください：

• 脆弱性パターンリファレンス

このスキルの使い方

ユーザーは APK ファイルまたはディレクトリを提供します：$ARGUMENTS

ワークフロー

ステップ 1：入力の検証

まずターゲットが存在することを確認します：

ls -la $ARGUMENTS

$ARGUMENTS が空の場合は、ユーザーに APK パスを提供するよう依頼してください。

ステップ 2：スキャナーを実行

バンドルされたスキャナースクリプトをターゲットで実行します：

{baseDir}/scanner.sh $ARGUMENTS

スキャナーは以下を実行します：

1. apktool を使用して APK をデコンパイル
2. すべてのソース（google-services.json、XML リソース、アセット、smali コード、DEX 文字列）から Firebase 設定を抽出
3. 認証エンドポイントをテスト（オープンサインアップ、匿名認証、メールアドレス列挙）
4. Realtime Database をテスト（未認証読み取り/書き込み、認証バイパス）
5. Firestore をテスト（ドキュメントアクセス、コレクション列挙）
6. Storage バケットをテスト（リスト表示、書き込みアクセス）
7. Cloud Functions をテスト（列挙、未認証アクセス）
8. Remote Config の漏洩をテスト
9. テキスト形式と JSON 形式でレポートを生成

ステップ 3：結果を提示

スキャナーが完了したら、結果を読んで要約します：

cat firebase_scan_*/scan_report.txt

以下の形式で検出結果を提示します：

---

スキャン概要

メトリック	値
スキャンした APK	X
脆弱性あり	X
合計イシュー	X

抽出された設定

フィールド	値
プロジェクト ID	extracted_value
データベース URL	extracted_value
Storage バケット	extracted_value
API キー	extracted_value
認証ドメイン	extracted_value

検出された脆弱性

重要度	イシュー	証拠
CRITICAL	説明	簡潔な証拠
HIGH	説明	簡潔な証拠

修復方法

検出された各脆弱性に対する具体的な修正方法を提供します。セキュアなコード例については 脆弱性パターン を参照してください。

---

手動テスト（スキャナーが失敗した場合）

スキャナースクリプトが利用不可またはテストに失敗した場合は、手動で抽出とテストを実行します：

設定を抽出

デコンパイルされた APK 内で Firebase 設定を検索します：

# デコンパイル
apktool d -f -o ./decompiled $ARGUMENTS

# google-services.json を検索
find ./decompiled -name "google-services.json"

# XML リソースを検索
grep -r "firebaseio.com\|appspot.com\|AIza" ./decompiled/res/

# アセットを検索（ハイブリッドアプリ）
grep -r "firebaseio.com\|AIza" ./decompiled/assets/

エンドポイントをテスト

PROJECT_ID と API_KEY を取得したら：

認証：

# オープンサインアップをテスト
curl -s -X POST -H "Content-Type: application/json" \
  -d '{"email":"test@test.com","password":"Test123!","returnSecureToken":true}' \
  "https://identitytoolkit.googleapis.com/v1/accounts:signUp?key=API_KEY"

# 匿名認証をテスト
curl -s -X POST -H "Content-Type: application/json" \
  -d '{"returnSecureToken":true}' \
  "https://identitytoolkit.googleapis.com/v1/accounts:signUp?key=API_KEY"

データベース：

# Realtime Database 読み取り
curl -s "https://PROJECT_ID.firebaseio.com/.json"

# Firestore 読み取り
curl -s "https://firestore.googleapis.com/v1/projects/PROJECT_ID/databases/(default)/documents"

Storage：

# バケットをリスト表示
curl -s "https://firebasestorage.googleapis.com/v0/b/PROJECT_ID.appspot.com/o"

Remote Config：

curl -s -H "x-goog-api-key: API_KEY" \
  "https://firebaseremoteconfig.googleapis.com/v1/projects/PROJECT_ID/remoteConfig"

重要度の分類

• CRITICAL: 未認証のデータベース読み取り/書き込み、Storage 書き込み、プライベートアプリでのオープンサインアップ
• HIGH: 匿名認証が有効、Storage バケットリスト表示、コレクション列挙
• MEDIUM: メールアドレス列挙、アクセス可能な Cloud Functions、Remote Config の漏洩
• LOW: 機密データなしの情報漏洩

重要なガイドライン

1. 認可が必要 - テストを許可された APK のみをスキャンしてください
2. テストデータをクリーンアップ - スキャナーは自動的に作成したテストエントリを削除します
3. トークンを保存 - 匿名認証が成功した場合、トークンを使用して認証バイパステストを行います
4. すべてのリージョンをテスト - Cloud Functions は us-central1、europe-west1、asia-east1 などにデプロイされている可能性があります
5. 複数インスタンス - 一部のアプリは複数の Firebase プロジェクトを使用します。すべての検出された設定をテストしてください