Новости из Блогов Восстановление пароля к facebook или как угнать все аккаунты

Discription:
Когда пользователь, забыв пароль от facebook'a, решает его восстановить, он может воспользоваться функцией сброса пароля, указав в форме номер телефона или email,

Code:

https://www.facebook.com/login/identify?ctx=recover&lwv=110

facebook в ответ пришлет 6-ти значный числовой код, который пользователь должен будет ввести для того чтобы установить новый пароль.
При попытке брута 6-ти значного кода на домене www.facebook.com происходит блокировка после 10-12 неудачных попыток.
При проверке на доменах beta.facebook.com и mbasik.beta.facebook.com такое ограничение отсутствует...

Video POC:


Как видно из видео, можно установить новый пароль, перебирая код который был отправлен на телефон или почту.

Уязвимый запрос:

Code:

POST /recover/as/code/ HTTP/1.1
Host: beta.facebook.com

lsd=AVoywo13&n=XXXXX

http://www.anandpraka.sh/2016/03/how-i-could-have-hacked-your-facebook.html?m=1

 

баг все еще работает?

 

Нет конечно) Нашедшему заплатили 15 000$.

 

Иногда такие баги стоят дороже чем какие-то 15к...

 

неужели настройки безопасности не выставляются по умолчанию на любой проект?

 

Во дурак.. Я бы на его месте втихаря использовал.. Намного больше бы поднял.
15k вообще не о чем - даже машину не купить.

 

Не стоит думать поверхностно. Ребята с facebook читают логи, и достаточно скоро они бы в любом случае прикрыли лавочку и ничего бы он не поднял.
Однако, конечно, были варианты.

 

какие логи? логи каждого аккаунта? их там почти 2 миллиарда, вы об этом не подумали? если бы это были логи фаервола, еще можно было бы задуматься, сервер ломают же. а тут просто 999999 http-запросов, отправленных с какого-то айпишника (или нескольких), но и в этом случае все они должны затеряться среди других запросов, система ежесекундно кучу таких обрабатывает, а тут какие-то работники решили многомиллионный дамп трафика поднять и посмотреть каждый пакет, идущий в их сеть - нет уж! этот баг могли бы заметить, но не через какие-то логи, а просто во время очередного внутрикорпоративного аудита. но до тех пор, можно было его использовать втихаря. наверное, я бы и сам не стал "продаваться", а поломал бы за деньги несколько крупных страниц (или обычных, для ревнивых супругов, чтобы сообщения прочитать), тем самым заработав значительно больше, чем мне они бы заплатили. может сочтете за наглость мои слова (15к как никак тоже деньги), но пацана конкретно наебали. при всей огромной прибыли, которую получает корпорация. может на работу его хоть пригласили?

 

аналогичто инстаграмм через фейсбук восстанавливают)) создают копию страницы на фб или твиттере и с помощью нее востанавливают

 

это бага аля 2000 года..
Есть ещё и проще входы)) так что заряжайте мозги.. Фу такими читами пользоватся ..

 

Думаю сейчас это уже не актуально.