克隆TikTok爆红的Mitron,只活了50天
5月30日,一款克隆TikTok的短视频Mitron在印度登上免费下载榜榜首,短短一个月内获得了500万下载量。
正当印度网民为这款印度制造的App自豪时,印媒却指出Mitron其实是开发人员花34美元(约2500卢比)从一家巴基斯坦公司买来的代码包,不仅没有任何“本地化”的改动,还原封不动继承了源代码包的安全漏洞。
6月2日,志象网查询发现,Mitron已被谷歌应用商店下架,原因不明。
响应“为本地人发声”
5月12日,印度总理莫迪在全国演讲中向民众号召“为本地人发声”(vocal for local),很多印度初创企业表示对标Facebook、TikTok、Zoom和WhatsApp的本土应用。
Mirton、Bolo Indya、Roposo这三款都是最近流行的对标TikTok的“本土”应用。目前,Mitron仅在谷歌应用商店上线,一个月以来获得了超500万下载量和25万个5星评分,位居免费下载榜第一。Bolo Indya则是一款注重信息娱乐的短视频应用。Roposo推出得稍早,在谷歌和苹果应用商店上线,据称拥有超5000万用户,在谷歌和苹果应用商店的评分分别为4.3和4.5。
印度最近流行的对标TikTok的“本土”应用
很显然,Mitron是一款TikTok的克隆产品,它的界面设计、功能分区甚至视频风格都和TikTok如出一辙。印度媒体戏称“除了bug,其他都和TikTok一样”。
尽管Mitron bug频出,谷歌商店的应用评论区也有不少用户吐槽应用难用,但这并不妨碍用户们给它打出了4.7的高评分。
“几秒钟就可以盗取用户所有信息”
5月30日 ,印度漏洞研究安全人员Rahul Kankrale发布了一则演示Mitron安全漏洞的短视频。他指出,在注册Mitron时有“使用Google登录”功能,用户可授权使用谷歌账户登录Mitron,但开发者在使用授权时并没有设置令牌密钥(secret token)用于身份验证,导致黑客只需通过公开的用户ID,无需输入密码便可登录任何用户的配置文件。
Rahul Kankrale展示Mitron的漏洞
换句话说,该功能使应用开发者可以访问用户的Google账户信息,并盗取用户所有信息。
另外一个安全漏洞是,黑客可以给用户“发粉丝”,通过篡改“关注用户”功能的一些参数,让该账户关注一些指定账户。
Rahul 在审查Mitron的漏洞代码时发现,Mitron的代码包实际来自巴基斯坦软件开发公司Qboxus,它是该公司开发的应用TicTic 的重新打包版本。
TicTic是Qboxus模仿TikTok和Musical.ly开发出的,并将它卖给其他开发者。据媒体报道,除Mitron外,还有250多位开发人员购买了TicTic代码,专家解释说,鉴于源代码相同,其他购买相同源代码的开发者可以利用该漏洞入侵Mitron的用户数据库。
Qboxus官网上Tic Tic的介绍信息
Qboxus首席执行官Irfan Sheikh表示,“Mitron应用程序存在隐私问题,因为该应用程序的开发人员尚未上传隐私政策。公司出售源代码,但我们希望购买者可以在源代码的基础上进行自己的开发。Mitron付费购买了源代码,这无可厚非,但他们对源代码完全没有改动就在谷歌应用商店上线了。“他说,不鼓励开发者直接将应用上架供公众使用。
Counterpoint网络安全研究员Satyajit Sinha也表示,“使用Mitron应用程序存在风险,因为它在源代码之上没有任何其他防火墙,隐私政策薄弱,从长远来看可能导致用户数据面临风险。”
印度人还是巴基斯坦人?
尽管该代码是由巴基斯坦公司开发的,但尚未确认Mitron上架者的真实身份。在公开报道中,其开发者是印度理工学院(IIT Roorkee)的学生Shivank Agarwal,但该消息尚未得到本人证实。
印度电子与IT部长Ravi Shankar Prasad在社交媒体上表示,“祝贺IIT Roorkee的计算机工程师的Shivank Agarwal,他创建了很棒的平台Mitron,以应对TikTok和Facebook。”
志象网曾向Mitron在谷歌应用商店预留的开发者邮箱发信问询,但该邮件地址为无效地址。Rahul也表示,他试图告知Mitron开发者应用存在漏洞,但无法通过邮箱联系到开发者。
除此之外,托管Mitron后端基础结构的Web服务器主页shopkiller.in也为空白。但有趣的是,巴基斯坦公司Qboxus网站将Mitron列为其开发的最佳应用之一。
Qboxus网站将Mitron列为其开发的最佳应用之一
不过,这一争议已告一段落,因为Mitron 在6月2日被谷歌下架,前途未卜。
- 新迪天工®CAD V2023 R1 版本发布!4个超实用的增强功能请拿好
- 这一次,送上东方祝福 | JULEEJULEE茱俪「东方系列」珠宝相片盒发布
- 艺卓发布新一代24.1"USB-C连接的sRGB色彩管理显示器CS2400R
- NBA篮球盛宴震撼来袭,青瞳视觉为咪咕虚拟直播提供全流程服务助力打CALL!
- 美的工业技术旗下MOTINOVA亮相 EUROBIKE 2023
- 北京许昌搬家公司长途搬家公司上门打包装
- 宜宾黑石材+湛江黑+蒙古黑墓碑石材;墓碑石材是人类纪念死者
- 代尔塔DT115防静电限次型防化服-连体防护服
- 离心粒化技术在建筑材料生产中的应用与发展
- 高温杀菌锅做出的产品做出来的产品有哪些优势?
- 潜行创新打造尖端水下科技产品,全方位升级泳池清洁体验
- 舜云互联陆续中标西藏巨龙铜业全生命周期服务项目 开启全面合作新模式
- 全国政协委员、新疆维吾尔自治区人民政府参事刘明军一行再度参观考察那拉本源乳业
- 热烈欢迎新疆商务厅全疆考察团莅临新疆那拉本源乳业
- 首个茶水间评价标准发布,促进办公场景消费升级
- 代尔塔ALAINA级内置气密重型防化服-锦勇
- 高温杀菌锅主要用在哪些行业?通常在行业中的作用是什么?
- 赣州拖车救援24小时道路救援汽车搭电送油救援
- 如何选择中国SimexPUR-99控制器的总代理
- 高考结束,自驾川藏线旅游,探索西藏之美。自驾游拉萨
- 618战绩出炉!看家居品牌如何在今年消费大环境下脱颖而出?
- 意草草书创始人——赵文生
- 弘扬传统文化.振兴文化强国——徐瑞明
- 企业在选择和租赁钢材库厂房时应--注意的几个安全事项
- 中工集团名居尚品重钢别墅更需要团队的合作奋斗