Το thehackernews εξηγεί τον τρόπο που ένας ερευνητής ασφαλείας (fin1te) από το Ηνωμένο Βασίλειο, κατάφερε να βρει τον τρόπο που του δίνει την δυνατότητα να αποκτήσει πρόσβαση σε οποιοδήποτε λογαριασμό του Facebook, επιθυμεί, μέσα σε ένα λεπτό, στέλνοντας απλά ένα SMS.
Σχεδόν όλοι γνωρίζουν ότι το Facebook δίνει μια επιλογή η οποία σας επιτρέπει να λαμβάνετε ενημερώσεις του λογαριασμού σας μέσω SMS απευθείας στο κινητό σας.
Επίσης σας δίνει την δυνατότητα να μπορείτε να συνδεθείτε στο λογαριασμό σας χρησιμοποιώντας τον αριθμό τηλεφώνου σας και όχι τη διεύθυνση ηλεκτρονικού ταχυδρομείου ή το όνομα χρήστη.
Σύμφωνα με το hacker, το κενό ασφαλείας υπήρχε, στο αρχείο /ajax/settings/mobile/confirm_phone.php
Η συγκεκριμένη ιστοσελίδα λειτουργεί στο παρασκήνιο όταν ο χρήστης υποβάλλει τον αριθμό τηλεφώνου του και τον κωδικό επαλήθευσης.
Το αρχείο υποβολής περιέχει δύο βασικές παραμέτρους, μία είναι ο κωδικός επαλήθευσης, και η δεύτερη είναι το profile_id, που είναι ο λογαριασμός που είναι συνδεδεμένος ο αριθμός.
Ο επιτιθέμενος, ακολούθησε τα παρακάτω βήματα για να εκτελέσει το hack:
Άλλαξε την αξία του profile_id στο αντίστοιχο profile_id του θύματος.
Έστειλε το γράμμα F στο 32665, το οποίο το νούμερο που χρησιμοποιεί το Facebook στο Ηνωμένο Βασίλειο για SMS.
Αμέσως μετά έλαβε έναν κωδικό επαλήθευσης 8 χαρακτήρων.
Εισήγαγε τον κωδικό σαν τιμή της παραμέτρου CONFIRMATION_CODE και έστειλε τη φόρμα.
Το Facebook δέχτηκε τον κώδικα επιβεβαίωσης και τον αριθμό του κινητού του εισβολέα, ο οποίος μπορεί πια να συνδεθεί στο Facebook προφίλ του θύματος.
Στο επόμενο βήμα ο hacker απλά μέσω της επιλογής “Ξέχασα τον κωδικό μου” μπορεί να αποστείλει αίτημα επαναφοράς κωδικού πρόσβασης και να “πετάξει” έξω εντελώς τον νόμιμο ιδιοκτήτη του λογαριασμού.
iGuRu.gr
Δεν υπάρχουν σχόλια :
Δημοσίευση σχολίου