Par paroļu ievainojamības atrašanu Facebook izmaksā $15,000

[samurajs]

Neatkarīgais indiešu datordrošības speciālists Anands Prakašs saņēmis 15,000 USD naudas balvu no sociālā tīkla Facebook. Atkal pierādījies, ka viss ģeniālais ir vienkāršs. Vienkārši intereses pēc Anands papētīja paroļu atjaunošanas formu, kura “aizmirstās” paroles aizstājēju – 6-zīmju autorizācijas kodu nosūtīja uz lietotāja norādīto e-pastu vai tālruni. Normālajā Facebook lapā bruteforsēt visas 999999 iespējamās kombinācijas nesanāk, jo sistēma atslēdz hakeri jau pēc pirmajām 10 kļūdām. Tomēr ir vēl beta testētāju lapas beta.facebook.com un mbasic.beta.facebook.com, kur par šiem ierobežojumiem aizmirsts. Š ajās lapās visi jaunievedumi parādās vispirms, un tikai tad nonāk publiskajā sociālajā tīklā.

Rezultātā pētnieks palaida skriptu, kas vienā mierā pārmala visas 999999 iespējamās kombinācijas, līdz atrada pareizo. Testam Anandam nācās lietot personīgo profilu, jo Facebook noteikumi aizliedz lauzt svešus.

Vienkāršā HTTP pieprasījumā automātiski mainījās parametrs “n”, kas ļāva pārmalt visas iespējamās kombinācijas.

Code:

POST /recover/as/code/ HTTP/1.1
Host: beta.facebook.com

lsd=AVoywo13&n=XXXXX

Visu procesu var noskatīties ekrānvideo. Lai raitāk risinātos demonstrācija, requestu skaits ierobežots ar 899.

Š oreiz nebija nekādas birokrātijas, un lēmums par 15,000 $ izmaksu pienāca jau pēc 10 dienām.

[img]https://notepad.lv/userpix/28_aa5b1a7b56413919aabfb9c41644c647_1.png[/img]

Pirmavots

[Autors]

Ieraksti