To tylko wycinek wyników zaprezentowanej tutaj pracy: Specifically, we show how the adversary can infer users’ full phone numbers knowing just their email address, determine whether a particular user visited a website, and de-anonymize all the visitors to a website by inferring their phone numbers en masse. Skuteczność niemal 100%…
Czytaj dalej »
Nie wiem czy wiecie, ale Facebook od niedawna daje możliwość tworzenia głosowań, do których można dodać też obrazki: Nowa funkcja to okazja na nowe bugi – i rzeczywiście – wystarczyło dodać do swojego głosowania ID zewnętrznych obrazków (z Facebooka), a serwis je akceptował. Ale co ważniejsze – przy kasowaniu głosowania…
Czytaj dalej »
Najpierw Google, Dropox czy Github, a teraz wreszcie Facebook umożliwia wsparcie dla kluczy zgodnych ze standardem U2F: Using your security key is much like using a key to unlock a door. After entering your password, you can tap your physical security key instead of entering a special security code W skrócie: posiadając…
Czytaj dalej »
Banalny błąd zgłoszony do Facebooka w ramach programu bug bounty (wypłacono $5000). W skrócie: zapraszałem kogoś do bycia adminem w mojej grupie, a w linku usuwającym zaproszenie był… podany zarejestrowany w Facebooku e-mail zaproszonego :-) Jak widać, czasem żeby być hackerem, wystarczy umieć uważnie czytać ;-) –ms
Czytaj dalej »
Wg. szefa security Facebooka, używanie tych samych haseł w wielu serwisach to jeden z największych problemów: The reuse of passwords is the No. 1 cause of harm on the internet Facebook w swojej strategii bezpieczeństwa kupuje więc bazy haseł a następnie porównuje je ze swoimi hashami (co oczywiście wcale nie…
Czytaj dalej »
Tym razem sprawa jest prosta – wystarczyło znać odpowiedni request HTTP (w mechanizmie business manager), w którym ustawiamy ID strony, którą chcemy przejąć i voila. Całość zajmowała mniej niż 10 sekund i została załatana przez Facebooka w 8 dni (przy czym po bardzo krótkim czasie podatna funkcjonalność w ogóle została…
Czytaj dalej »
TL;DR: Wystarczyło wysłanie skanu sfałszowanego paszportu (nic się nie zgadza poza nazwiskiem ofiary) aby pracownicy Facebooka zmienili numer telefonu i e-mail związany kontem: Jak wyglądało przejęcie konta posiadającego dostęp do stron mających ~1 000 000 polubień? Wystarczyło napisać krótkiego maila: Hi. I don’t have anymore access on my mobile phone number….
Czytaj dalej »
Jak informuje fiński serwis Iltalehti, 10-letni Jani otrzymał od Facebooka 10 tys. USD za zgłoszenie luki w Instagramie.
Czytaj dalej »
Ciekawy i pełen technicznych smaczków wpis na tajwańskim blogu – dotyczący ataku na domenę: files.fb.com Autorowi udało się znaleźć w sumie 7 podatności, w tym 2 x zdalne wykonanie kodu – w tym jedno przez nieuwierzytelniony SQL injection: Analizując dalej system (w celu zgłoszenia całości do programu bug bounty), Tajwańczyk…
Czytaj dalej »
Naukowcom udało się opracować zautomatyzowaną metodę łamania testów reCAPTCHA stosowanych przez serwisy Google’a oraz Facebook’a.
Czytaj dalej »
Wygląda na to, że Oculus Rift (czyli de facto Facebook) nieustannie gromadzi informacje o swych użytkownikach.
Czytaj dalej »
Całość okazała się niezmiernie prosta, wystarczyło znać adres e-mail lub nr telefonu podpięty pod konto ofiary: The only condition would have been for the attacker to know the telephone number or email address associated with the target’s account. Do resetu hasła na Facebooku wystarczy podanie 6 znakowego PINu (wysyłanego na…
Czytaj dalej »
Załoga Facebooka, wprowadza nowy komunikat ostrzegający o możliwym przejęciu dostępu do konta użytkownika przez atakującego, który jest sponsorowany przez jeden z rządów: Starting today, we will notify you if we believe your account has been targeted or compromised by an attacker suspected of working on behalf of a nation-state. Jak…
Czytaj dalej »
Wygląda na to, że największy na świecie serwis społecznościowy zamierza zrobić kolejny krok w komercyjnym wykorzystaniu danych i informacji o powiązaniach swych użytkowników.
Czytaj dalej »
Jak nie wszyscy wiedzą, popularny Facebook domyślnie pozwala na wyszukiwanie swych użytkowników na podstawie numeru telefonu. Wszystkich użytkowników, a nie tylko tych, których mamy w „znajomych”. Podobny trik działa w przypadku adresów e-mail. Spójrzmy na przykłady.
Czytaj dalej »