Banalny błąd zgłoszony do Facebooka w ramach programu bug bounty (wypłacono $5000). W skrócie: zapraszałem kogoś do bycia adminem w mojej grupie, a w linku usuwającym zaproszenie był… podany zarejestrowany w Facebooku e-mail zaproszonego :-) Jak widać, czasem żeby być hackerem, wystarczy umieć uważnie czytać ;-) –ms
Czytaj dalej »Wg. szefa security Facebooka, używanie tych samych haseł w wielu serwisach to jeden z największych problemów: The reuse of passwords is the No. 1 cause of harm on the internet Facebook w swojej strategii bezpieczeństwa kupuje więc bazy haseł a następnie porównuje je ze swoimi hashami (co oczywiście wcale nie…
Czytaj dalej »Tym razem sprawa jest prosta – wystarczyło znać odpowiedni request HTTP (w mechanizmie business manager), w którym ustawiamy ID strony, którą chcemy przejąć i voila. Całość zajmowała mniej niż 10 sekund i została załatana przez Facebooka w 8 dni (przy czym po bardzo krótkim czasie podatna funkcjonalność w ogóle została…
Czytaj dalej »TL;DR: Wystarczyło wysłanie skanu sfałszowanego paszportu (nic się nie zgadza poza nazwiskiem ofiary) aby pracownicy Facebooka zmienili numer telefonu i e-mail związany kontem: Jak wyglądało przejęcie konta posiadającego dostęp do stron mających ~1 000 000 polubień? Wystarczyło napisać krótkiego maila: Hi. I don’t have anymore access on my mobile phone number….
Czytaj dalej »Jak informuje fiński serwis Iltalehti, 10-letni Jani otrzymał od Facebooka 10 tys. USD za zgłoszenie luki w Instagramie.
Czytaj dalej »Ciekawy i pełen technicznych smaczków wpis na tajwańskim blogu – dotyczący ataku na domenę: files.fb.com Autorowi udało się znaleźć w sumie 7 podatności, w tym 2 x zdalne wykonanie kodu – w tym jedno przez nieuwierzytelniony SQL injection: Analizując dalej system (w celu zgłoszenia całości do programu bug bounty), Tajwańczyk…
Czytaj dalej »Naukowcom udało się opracować zautomatyzowaną metodę łamania testów reCAPTCHA stosowanych przez serwisy Google’a oraz Facebook’a.
Czytaj dalej »Wygląda na to, że Oculus Rift (czyli de facto Facebook) nieustannie gromadzi informacje o swych użytkownikach.
Czytaj dalej »Całość okazała się niezmiernie prosta, wystarczyło znać adres e-mail lub nr telefonu podpięty pod konto ofiary: The only condition would have been for the attacker to know the telephone number or email address associated with the target’s account. Do resetu hasła na Facebooku wystarczy podanie 6 znakowego PINu (wysyłanego na…
Czytaj dalej »Załoga Facebooka, wprowadza nowy komunikat ostrzegający o możliwym przejęciu dostępu do konta użytkownika przez atakującego, który jest sponsorowany przez jeden z rządów: Starting today, we will notify you if we believe your account has been targeted or compromised by an attacker suspected of working on behalf of a nation-state. Jak…
Czytaj dalej »
Wygląda na to, że największy na świecie serwis społecznościowy zamierza zrobić kolejny krok w komercyjnym wykorzystaniu danych i informacji o powiązaniach swych użytkowników.
Czytaj dalej »
Jak nie wszyscy wiedzą, popularny Facebook domyślnie pozwala na wyszukiwanie swych użytkowników na podstawie numeru telefonu. Wszystkich użytkowników, a nie tylko tych, których mamy w „znajomych”. Podobny trik działa w przypadku adresów e-mail. Spójrzmy na przykłady.
Czytaj dalej »Fotograficzne autoportrety znamy powszechnie z portali społecznościowych. Popularność tego typu zdjęć spowodowała, że podjęto nawet próby ich praktycznego zastosowania do autoryzacji transakcji internetowych. Jak się jednak okazuje, robienie selfie niesie ze sobą również spore ryzyko…
Czytaj dalej »A całość z wykorzystaniem przełomowej funkcjonalności Wi-Fi Sense. Czym jest ta ciekawa funkcja? Podpowiada serwis howtogeek: Wi-Fi Sense” is a feature built into Windows 10. You may see a pop-up saying “Wi-Fi Sense needs permission to use your Facebook account.” It also works with Outlook.com and Skype contacts. This feature allows you to…
Czytaj dalej »Ostatnio pisaliśmy o błędzie 0-day na proftpd, tym razem serwis 1337day sprzedaje 0-daya, umożliwiającego skasowanie admina dowolnej strony na FB. Wg opisu można na bazie buga przygotować prostego worma automatycznie rozpowszechniającego się po facebooku (czego oczywiście odradzamy). Przypominamy, że śledzenie tego typu baz z exploitami 0-day ułatwia ewentualne przygotowanie odpowiedniej,…
Czytaj dalej »