هک حسابهای کاربری FaceBook
آیا میتوانید تصور کنید که تنها با یک متن ساده پیام میتوانید هر حساب کاربری فیسبوک را هک کنید حتی بدون استفاده از هیچ بدافزاری مانند تروجانها یا کیلاگرها ؟
آیا میتوانید تصور کنید که تنها با یک متن ساده پیام میتوانید هر حساب کاربری فیسبوک را هک کنید حتی بدون استفاده از هیچ بدافزاری مانند تروجانها یا کیلاگرها ؟
به گزارش سایبربان از تیم امنیتی هکری "fin1te" که ادعا کردند که هر حساب کاربری فیسبوک را بدون داشتن اطلاع خاصی از کاربران در کمتر از یک دقیقه به وسیله پیامک هک میکنند .
فیسبوک یک گزینه جدید برای ارتباط کاربران با صفحه شخصی خود از طریق شماره تلفن تعبیه کرده است که کاربران میتواند به روز رسانیهای حساب کاربری خود را مستقیما در تلفن همراه خود با استفاده از پیامک با خبر شوند و همچنین میتوانند با همین شماره تلفن به حساب کاربری خود وارد شوند ، متاسفانه این گزینه جدید فیسبوک دوباره ایده جدیدی را برای هک فیسبوک به هکرها داد .
بر طبق گفتههای این تیم ، یک راه گریز در پروسه پردازش از طریق شماره تلفن وجود دارد یا اگر بخواهیم به صورت علمی بگوییم در مسیر file /ajax/settings/mobile/confirm_phone.php که این صفحه خاص هنگامی که کاربران از شماره تلفن به جای نام کاربری استفاده میکنند و پیامکی که از طریق فیسبوک ارسال میشود ،اجرا میشود . این صفحه دارای دو عنصر اصلی میباشد ، یک Verification_code ، و دومی profile_id که میگوید این حساب کاربری با این شماره ارتباط دارد .
مهاجم از مراحل زیر برای اجرا کردن هک خود بهره میبرد :
• با دستکاری پارامترها Profile_id خود را به Profile_id قربانی تغییر میدهد .
• فرستادن حرف F به 32665 ، که این شماره پیامک فیسبوک در انگلستان میباشد ، پس از فرستادن حرف F یک کد هشت رقمی دریافت میشود که این همان کد تایید میباشد .
• وارد کردن کد confirmation_code و ثبت کردن آن .
بعد از انجام این مرحله فیسبوک cONFIRMATION_code را قبول خواهد کرد و شماره مهاجم جایگزین شماره قربانی و اطلاعات به مهاجم فرستاده میشود .
در این مرحله کافیست که مهاجم گزینه Forgot Password را بزند و پسورد را ریست(Reset) کند ، فیسبوک طولی نمیکشد که Profile_id قبول میکند و یک شناسه برای ورود به فیسبوک به مهاجم ارسال میکند و مهاجم به حساب کاربری قربانی دسترسی پیدا میکند .
