文件可被任何人查看：ES 文件管理器曝漏洞

1 月 17 号消息，据外媒 AndroidPolice 报道，安全研究员 Elliot Alderson(推特上的 @fs0c131y) 指出，Android 最著名的文件管理器之一 ES 文件管理器 (ES File Explorer)，这款应用程序不仅使手机存储更加混乱和错误，还会让用户文件更容易被盗。

在 Android 早期，ES 文件管理器是最著名的 Android 文件管理器之一，用户可以通过它来浏览 Android 手机或平板电脑的文件系统，获取文件，数据，文档等，下载量超过 1 亿次。

然而 Elliot Alderson 表示，用户每打开过一次 ES 文件资源管理器都会启动一个 HTTP 服务器，此服务器在本地打开端口 59777，这意味着任何连接到同一个本地网络的人都可以从你的手机远程获取文件。

攻击者可以使用该端口注入 JSON 有效负载，获得用户的应用程序和文件信息，然后通过网络下载用户的数据。根据 ES 文件资源管理器分享的视频，这可能与应用程序的文件共享功能有关。

ES 文件管理器下载量超过 1 亿次，这意味着很多设备都容易受到攻击。但幸运的是，这种攻击只在本地网络上有效。一般来说，不要和不受信用的人和设备在同一网络上，这样可以保证保证自己的数据不被读取。

Elliot Alderson 表示 v4.1.9.7.4 及更低版本里都存在该漏洞，这和谷歌商店上架的是相同的版本，因此最新版本的文件管理器同样不安全。

目前，开发人员还没有发表任何消息，但 ES 文件管理器仍然在积极开发中，据 AndroidPolice 推测，近期的更新会修复这个漏洞。