网络安全公司 CloudSEK 首次发现了这一问题，该公司在检查大型应用程序集合是否存在数据泄漏时，发现了大量应用程序泄露了 Twitter API 密钥。
据悉，造成这一现象的主要原因是开发者在整合移动应用与 Twitter 时，会得到一个特殊的认证密钥（或称），允许其移动应用与 Twitter API 交互。当用户使其 Twitter账户与移动应用联系起来时，这些密钥允许其他人代表用户行事，例如通过 Twitter 登录，创建推文，发送 DM 等。
当攻击者设法得到这些密钥后，就能够以关联的 Twitter 用户身份进行操作，建议大家不要将密钥直接存储在移动应用中，避免攻击者找到并利用它们。
CloudSEK 强调，API 密钥泄漏一般是应用程序开发人员造成的，他们在开发过程中将认证密钥嵌入到 Twitter API 中，但是之后并未删除。
在这些情况下，凭据存储在以下位置的移动应用程序中：
·阅读某人的直接消息；
· 进行转发和点赞；
· 创建或删除推文；
· 删除或添加新关注者；
· 访问帐户设置；
· 更改显示图片。
据 CloudSEK 称，攻击者可以使用这些暴露的令牌创建一个拥有大量粉丝的 Twitter “大军”，以宣传虚假新闻、恶意软件活动, 加密货币诈骗等。
易受攻击的应用程序的细分 (CloudSEK)
凭证被存储在移动应用程序中的以下位置。
resources/res/values/strings.xml
source/resources/res/values-es-rAR/strings.xml
source/resources/res/values-es-rCO/strings.xml
source/sources/com/app-name/BuildConfig.java
CloudSEK 建议开发人员使用 API 密钥轮换来保护身份验证密钥，此举可以使暴露的密钥在几个月后失效。
密钥泄露产生那些影响？
从 CloudSEK 分享给 BleepingComputer 的受影响应用程序清单来看，这些应用程序的下载量普遍在 5 万到 500 万之间，其中主要包括城市交通伴侣、广播调谐器、图书阅读器、事件记录器、报纸、电子银行应用、自行车 GPS 应用等。
值得一提的是，在网络安全公司 CloudSEK 发出警报一个月后，大多数公开暴露 API密钥的应用程序表示没有收到任何通知，也没有解决密钥泄露问题。
本文内容不用于商业目的，如涉及知识产权问题，请权利人联系51Testing小编(021-64471599-8017)，我们将立即处理
