六字符间消失：对云服务有害的短 URL

现代云服务旨在鼓励并支持协作。为了帮助用户共享指向在线文档、地图等的链接，包括微软 OneDrive 等云存储提供商以及 Google Maps 等地图服务在内的若干服务，直接集成了 URL 缩短器，将冗长不便的长 URL 转换为由诸如 1drv.ms 或 goo.gl 的域以及短令牌组成的短 URL。在本文中，我们证明短 URL 中 5 至 6 字符令牌的空间极小，可通过暴力搜索进行扫描。因此，所有原本意图与少数可信朋友或协作者共享的在线资源实际上都是公开的，且可被任何人访问。这导致了严重的安全与隐私漏洞。在云存储情形下，我们聚焦于微软 OneDrive。我们展示了如何利用短 URL 枚举来发现并读取存储在 OneDrive 云中的共享内容，甚至包括用户未生成短 URL 的文件。以此方式暴露的 OneDrive 账户中有 7% 允许任何人写入。由于云存储文件会自动复制到用户的个人计算机与设备，这构成了大规模自动化恶意软件注入的载体。在在线地图情形下，我们展示了短 URL 枚举如何揭示用户彼此共享的路线。对许多个人用户而言，这使其常住地址、真实身份以及所访问的极度敏感地点被推断出来，若公开这些地点将侵犯医疗与金融隐私。