這篇文章將演示一個(gè)簡單的縫隙。操縱這個(gè)縫隙，不必用戶交互便可獲得肆意Facebook帳號(hào)的完全節(jié)制權(quán)。請(qǐng)看下文。
Facebook承諾你將本身的手機(jī)號(hào)與帳號(hào)進(jìn)行聯(lián)系關(guān)系。這讓你可以通太短信領(lǐng)受更新信息，同時(shí)也意味著你可以經(jīng)由過程手機(jī)號(hào)而不是郵件地址進(jìn)行登錄。
縫隙位于“/ajax/settings/mobile/confirm_phone.php”。它接管多個(gè)參數(shù)，但此中有兩個(gè)最首要：一個(gè)是發(fā)送到手機(jī)上的驗(yàn)證碼，一個(gè)是profile_id，就是手機(jī)號(hào)碼的聯(lián)系關(guān)系賬戶。
關(guān)頭標(biāo)題問題是，當(dāng)然profile_id應(yīng)當(dāng)設(shè)置為你本身的帳號(hào)(不言而喻的)，但把它點(diǎn)竄成方針帳號(hào)的值竟不會(huì)引發(fā)任何弊端。
為了操縱這個(gè)縫隙，我們起首給Facebook在英國的短信辦事號(hào)32665發(fā)送字母F。在答復(fù)的短信中，我們可以獲得8個(gè)字符的驗(yàn)證碼。
我們把這個(gè)驗(yàn)證碼輸進(jìn)到暗碼框中(在這里)，并且點(diǎn)竄fbMobileConfirmationForm表單中的profile_id元素。
要求提交后會(huì)返回成功(HTTP 200)。你會(huì)發(fā)現(xiàn)__user(與AJAX要求一路發(fā)送)的值與我們點(diǎn)竄的profile_id不合。
寄望：提交這個(gè)要求后，你或許不克不及不從頭認(rèn)證，可是要填寫的暗碼是你本身的，而不消填方針帳號(hào)的。
然后你會(huì)收到認(rèn)證成功的短信。
此刻，針對(duì)已登錄的用戶，我們可以提交一個(gè)重置暗碼的要求，并設(shè)置通太短信獲得重置驗(yàn)證碼。
隨后你會(huì)收到一條新短信，里面有重置驗(yàn)證碼。
我們把這個(gè)驗(yàn)證碼填進(jìn)表單中，換一個(gè)新暗碼，如許我們就完成了全部過程。這個(gè)帳號(hào)已被我們節(jié)制了。
修復(fù)方案
Facebook不再接管用戶提交的profile_id變量。
縫隙措置
2013.05.23 – 縫隙反饋給了Facebook
2013.05.28 – Facebook確認(rèn)了該縫隙
2013.5.28 – 標(biāo)題問題被修復(fù)
寄望
這個(gè)縫隙的獎(jiǎng)金高達(dá)2萬美元，這也反應(yīng)了標(biāo)題問題標(biāo)嚴(yán)重性。