19岁黑客找到暴露 Facebook 页面管理员的缺陷，获4500美元奖励

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

一名19岁的尼泊尔黑客 Sudip Shah发现了一个漏洞，它易于利用且可导致用户暴露页面管理员身份，他因此获得4500美元的奖励。

Facebook Pages 是商务、品牌和组织机构的参与枢纽，它不同于 Facebook Groups。Facebook Groups 中管理员总是可见的，而这些页面的所有人是隐藏的。

易受攻击的端点

深入挖掘了 Facebook 安卓版应用后，Shah 发现了一个不安全的直接对象引用（IDOR）漏洞，它可导致攻击者披露页面管理员的身份。要使该 exploit 发挥作用，目标页面需要拥有至少一个 Facebook Live 视频。

Shah 表示，“在Facebook 安卓版本拦截并导航至任意页面的实时视频部分时，我发现了一个易受攻击的端点。当请求中的 page_id 被更改为任意 page_id 时，页面管理员暴露在 broadcaster_id 参数的响应中。它可被进一步提升，通过创建脚本的方式获取大量页面的管理员信息，并且捕获新文本文件响应中 broadcaster_id 中的管理员信息。”

影响大

Shah 表示“Page 和个人ID 是完全不同的两个东西，任意 Facebook 页面的页面管理员都应该是未知的。如果有人找到管理员的个人账户，那么这就是一个严重的信息泄露漏洞。例如，很多名人通过 Facebook 页面运营，因此如果他们的个人账户被暴露，那么就可能获取他们的个人电话号码，这是一个很大的隐私问题。”

Shah 指出自己在2021年10月5日将漏洞提交给 Facebook 安全团队，后者称赞了其研究结果并在10月7日对漏洞进行分类并告知他不要做进一步测试。

Shah 表示Facebook 公司在10月21日修复了这个漏洞，自己在11月5日获得4500美元的奖励，而这是他首次获得 Facebook 漏洞奖励。

Meta 公司的发言人证实称该漏洞已修复，并对Shah 的协同披露表示感谢。目前，Shah 在 Facebook 名人堂中排名第38位。

具体的技术详情可见：https://medium.com/pentesternepal/how-i-was-able-to-reveal-page-admin-of-almost-any-page-on-facebook-5a8d68253e0c

推荐阅读

Facebook 允许漏洞猎人抱团提交漏洞报告分享奖金

这两个漏洞暴露 Facebook Group 成员，有个用手机就能发现，获奖$9000

看我如何黑掉 Facebook 并获奖金 $7500

原文链接

https://portswigger.net/daily-swig/teen-hacker-scoops-4-500-bug-bounty-for-facebook-flaw-that-allowed-attackers-to-unmask-page-admins

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

19岁黑客找到暴露 Facebook 页面管理员的缺陷，获4500美元奖励相关推荐

iPhone 7越狱：19岁黑客称其只用了24小时
SAKAISON本着不接受模糊照片的名义, 浏览了一遍他的Twitter,嘿嘿嘿, 如果他的头像是自己的话,那么下面这张照片里↓↓↓↓,右边起第二个,不谢 ---------------------- ...
Oasis Sapphire黑客松来袭 | 构建隐私DApp，赢取9000美元奖励！
近日,Oasis在测试网上推出EVM兼容的隐私ParaTime「Sapphire」,它是行业首个也是唯一一个具有隐私保护的EVM运行时,将为整个行业带来更多创新可能性.现在,我们希望为开发者提供机会, ...
年仅19岁！西班牙最危险黑客被捕
前言 Bleeping Computer 网站披露,西班牙警方逮捕了一名19 岁黑客 JoséLuis Huertas(又名"Alcaseca"."Mango" ...
这两个漏洞暴露 Facebook Group 成员，有个用手机就能发现，获奖$9000
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队作者Baibhav Anand 分享了自己找到的两个 Facebook Group漏洞且均获得4500美元的奖金.如下是详情. 第一个 ...
19岁「黑客」连续破解25辆特斯拉：远程控制门窗、灯光、音乐，还能直接开走...
来源:机器之心从事网络安全研究的 19 岁德国男孩 David Colombo 最近有一个大发现. 他在为一家法国公司进行安全审查时注意到,该公司网络中的一个软件程序泄露了公司 CTO 所驾驶的特斯 ...
19岁中专学历是怎么在广州找到前端工作的？
大家好,我是若川.持续组织了8个月源码共读活动,感兴趣的可以点此加我微信 ruochuan12 参与,每周大家一起学习200行左右的源码,共同进步.同时极力推荐订阅我写的<学习源码整体架构系列& ...
19岁「黑客」连续破解25辆特斯拉
来源 | 机器之心从事网络安全研究的 19 岁德国男孩 David Colombo 最近有一个大发现. 他在为一家法国公司进行安全审查时注意到,该公司网络中的一个软件程序泄露了公司 CTO 所驾驶的 ...
印度软件开发人员_我如何辍学并在19岁时在印度找到了一份开发人员的工作
印度软件开发人员关于我自己 (A bit about myself) I'm a nineteen-year-old self-taught web developer from India. I ...
19岁少年帅哥黑客办培训网站月入27000元！
前日不久一篇名为"中国美女黑客"一举成为业内的焦点人物!而声名大噪!近日一篇名为:"19岁少年帅哥黑客办培训网站月入27000元!" 又引起了网站等各大新闻媒体 ...

19岁黑客找到暴露 Facebook 页面管理员的缺陷，获4500美元奖励

19岁黑客找到暴露 Facebook 页面管理员的缺陷，获4500美元奖励相关推荐

最新文章

热门文章