地图API配置错误漏洞导致的key或者ak泄露

0x1 前言

哈喽，师傅们！

这篇文章主要是带师傅们掌握下地图API配置错误漏洞导致的key或者ak泄露，然后进行使用我们总结的payload进行打一个漏洞利用。下面也会给师傅们举例我挖到的部分地图API漏洞，其中企业src部分企业会收这个漏洞，部分不收，我之前在众测挖的这个漏洞，收的多点。

0x2 地图API简介

一、Web服务API简介

高德/百度/腾讯Web服务API向开发者提供HTTP接口，开发者可通过这些接口使用各类型的地理数据服务，返回结果支持JSON和XML格式。

Web服务API对所有用户开放。使用本组服务之前，需要申请应用Key。不同类型用户可获取不同的数据访问能力。

下面这篇文章就是高德地图的key创建的官方文档：https://lbs.amap.com/api/webservice/create-project-and-key

在我们使用一些导航地图的时候，在创建web服务的API时候，就可能会把我们的key值或ak值（百度地图的密钥叫ak）给泄露出来，像这个可以直接在改站点的网页源代码检索泄露出来的key或者ak值

二、泄露的 API Key 可能带来的问题

1. 滥用和超额使用：

• 如果 API Key 泄露，其他人可能会滥用你的 API Key，导致你的账户超额使用配额，从而产生额外费用或服务中断。

• 费用增加：

• 高德地图 API 通常有免费配额，但一旦超出免费额度，额外的请求可能会产生费用。泄露的 API Key 可能会导致不必要的费用增加。

• 数据安全和隐私问题：

• 通过泄露的 API Key，恶意用户可能会访问你的应用程序的数据或进行不当操作，这可能会影响你的数据安全和隐私。

• 服务中断：

• 如果发现 API Key 被泄露并被滥用，服务提供商可能会对相关密钥进行封禁或其他措施，可能导致你的应用服务中断。

三、如何应对 API Key 泄露

1. 立即更换密钥：

• 尽快在高德地图开发者控制台中生成新的 API Key，并替换掉泄露的旧密钥。

• 限制 API Key 的使用范围：

• 在高德地图的 API 控制台中，你可以为 API Key 设置访问限制，例如限制 IP 地址、设置配额等，以减少被滥用的风险。

• 监控使用情况：

• 定期检查 API 使用情况，了解是否有异常的请求模式或超额使用情况。

• 安全存储密钥：

• 避免将 API Key 硬编码在代码中，使用安全的方式存储密钥，例如环境变量或配置文件。

• 设置警报和监控：

• 配置警报和监控，及时发现和响应 API Key 的异常使用。

可以参考高德地图的官方文档：

• https://lbs.amap.com/faq/webservice/webservice-api/basic-confi