Jak można było przejąć dowolne konto na Facebooku przy pomocy SMS-a?

30.06.2013 23:03

Jak można było przejąć dowolne konto na Facebooku przy pomocy SMS-a?

Pewien pentester zgarnął aż 20 000 dolarów od Facebooka w nagrodę za zgłoszenie

w ramach programu

. Błąd pozwalał w prosty sposób przejąć konto dowolnego użytkownika na Facebooku. Poniżej szczegóły.

SMS z hasłem od Facebooka

Podatność znajdowała się w mechanizmie dowiązania numeru telefonu do konta na Facebooku. Skrypt /ajax/settings/mobile/confirm_phone.php przyjmował dwie zmienne…

code — odpowiadającą za kod wysyłany SMS-em użytkownikowi w celu potwierdzenia, że dany numer rzeczywiście należy do niego
profile_id — ID profilu zalogowanego użytkownika

…ale pozwalał pod tę drugą podstawić ID profilu dowolnego użytkownika, co powodowało, że nasz numer telefonu dowiązywaliśmy do nieswojego konta.

Spreparowany formularz dowiązujący nasz numer do konta ofiary

Aby przejąć czyjeś konto należało więc:

Wysłać literę F pod numer telefonu Facebooka (w UK: 32665)
Spreparować żądanie HTTP do skryptu confirm_phone.php z otrzymanym SMS-em kodem i z ID profilu ofiary
Zainicjować “przypomnienie hasła” na koncie naszej ofiary wybierając przypomnienie via SMS

Facebook już załatał błąd.

29.07.2014 16:04

Jak można było przejąć dowolne konto na Facebooku przy pomocy SMS-a?

Plagiat.

Podobne wątki
Nowość Inteligentne telewizory też można „uceglić” i to w prosty sposób Started by Gamuś 0 Replies - 455 Views 28.12.2016 18:50 Ostatni post: Gamuś
Zarobek w Sieci - Subskrypcje SMS - co to jest i jak działają? Started by VertOne 4 Replies - 375 Views 10.09.2014 16:51 Ostatni post: VertOne
Szukam Szukam osób do pomocy! Started by gidion 0 Replies - 194 Views 24.06.2014 12:28 Ostatni post: gidion
Diametralne zmiany na facebooku - zmiana regulaminów Started by Uncross 0 Replies - 202 Views 08.12.2012 21:06 Ostatni post: Uncross