通過 AppSecure

根據負責任的披露政策，我在 Facebook 的許可下發布了這篇文章。他們已經修復了這個漏洞。

這篇文章是關於我在 Facebook 上發現的一個簡單漏洞，我可以利用它輕松侵入其他用戶的 Facebook 帳戶，而無需任何用戶交互。

這讓我可以通過設置新密碼完全訪問其他用戶帳戶。我能夠查看消息、存儲在支付部分下的信用卡/借記卡、個人照片和其他私人信息。

Facebook 迅速承認了這個問題，修復了它，並根據這個漏洞的嚴重性和影響獎勵了我 15,000 美元的賞金。

黑客是如何運作的

每當用戶在 Facebook 上忘記密碼時，他們可以選擇通過在https://www.facebook.com/login/identify?ctx=recover&lwv=110上輸入電話號碼和電子郵件地址來重置密碼。

然後，Facebook 將向該電話號碼或電子郵件地址發送一個 6 位代碼，用戶必須輸入該代碼才能設置新密碼。

我試圖在www.facebook.com上暴力破解 6 位代碼，並在 10-12 次無效嘗試後被阻止。

然後我在 beta.facebook.com 和 mbasic.beta.facebook.com 上尋找同樣的問題。有趣的是，忘記密碼端點缺少速率限製。

我試圖接管我自己的帳戶（根據 Facebook 的政策，你不應該對任何其他用戶的帳戶造成任何傷害）並成功地為我的帳戶設置了一個新密碼。然後我可以使用相同的密碼登錄我自己的被黑帳戶。

歡迎請找我們最專業的密碼破解大師為您解決任何疑難雜症。電郵hack2900@hotmail.com   聯絡line:hack2900

黑客的概念驗證視頻

正如您在視頻中看到的那樣，我能夠通過暴力破解發送到他們的電子郵件地址和電話號碼的代碼來為用戶設置新密碼。

易受攻擊的請求

POST /recover/as/code/ HTTP/1.1

Host: beta.facebook.com

lsd=AVoywo13&n=XXXXX

暴力破解「n」成功地允許我為任何 Facebook 用戶設置新密碼。

披露時間表

2016 年 2 月 22 日：報告已發送至 Facebook 團隊。

2016 年 2 月 23 日：從我這邊驗證了修復。

歡迎請找我們最專業的密碼破解大師為您解決任何疑難雜症。電郵hack2900@hotmail.com   聯絡line:hack2900

2016 年 3 月 2 日：Facebook 懸賞 15,000 美元