Facebook的漏洞可让攻击者快速重置用户账户密码

2013 年 7 月 20 日3620

安全研究人员Dan Melamed近日发现了一个Facebook平台的严重漏洞，可以允许攻击者完全控制任何账号。

这个漏洞之所以被认为严重是因为它允许黑客悄悄的黑掉任何Facebook账户。Dan Melamed在他的博客中发表了这个漏洞，他指出黑客只要欺骗受害人访问一段恶意exploit代码，即可以重置其facebook密码。

这个缺陷影响facebook ”claim email address”功能，当一个用户试图增加一个已在facebook注册过的邮箱，他会有一个选项”claim it”，当用户claim一个email地址，facebook不会检查这个请求来源。

当一个用户试图发送请求至一个@hotmail.com邮箱时，他会请求以下链接：






https://http://www.zjjv.com//support/openid/proxy_hotmail.php?appdata[fbid]




=AQ3Tcly2XEfbzuCqyhZXfb8_hYHTnHPPd-CDsvdrLzDnWLpsKTMcaXtIzV0qywEwbPs

研究人员发现参数appdata[fbid]是加密后的邮件地址。Dan使用加密后的邮件地址funnyluv196@hotmail.com来进行概念性验证。链接会重定向用户到Hotmail的登录页面。

“你必须使用能够和加密参数匹配的邮件地址登陆账户。一旦登陆后，你会收到最后一个链接，格式像下面这样。”






https://http://www.zjjv.com//support/openid/accept_hotmail.php?appdata=




%7B%22fbid%22%3A%22AQ3Tcly2XEfbzuCqyhZXfb8_hYHTnHPPd-CDsvdrLzDnWLps




KTMcaXtIzV0qywEwbPs%22%7D&code=a6893043-cf19-942b-c686-1aadb8b21026 ”

网页源码显示邮件流程成功了。

SHAPE \* MERGEFORMAT

Dan Melamed说利用的方法很简单，而且能够成功取决于下面两个重要的条件：

1.链接会在三个小时左右过期，使得黑客可以有时间来利用它。

2.该链接可以被任意Facebook账户浏览，因为没有对谁在进行请求做检查。

为了让受害者中招，黑客只需要以图片或者iframe的方式在网页中插入一个恶意地址(http://http://www.zjjv.com///evilpage.html)。