2013年11月24日 星期日

Facebook APP 漏洞(含影片示範)

Facebook APP 漏洞(含影片示範)

原始文章蠻精彩的,如果看影片不了解的話,看文末的參考網址會比較清楚。

這2個漏洞原作者有通報FB官方並獲得獎金( 2500+3500 美元),所以應該算官方已證實吧!

Facebook 3個 APP 在 Android 裝置上的2個新漏洞:
1. 在 Android 裝置上的 Facebook APP 與 FB 手機即時通,允許任何應用程序在設備上讀取及擷取你的 Facebook Access Tokens 並同時劫持你的FB帳號隱藏。

2. FB 專頁小助手的漏洞則是,允許在 Android 裝置上的任何應用程序在設備上讀取及擷取你的 Facebook Access Tokens 並同時劫持你的FB帳號隱藏。

聽起來似乎很複雜,簡單講就是現在於 Android 裝置上 Facebook 所推出的3個APP(Facebook APP、手機即時通、專頁小助手),"全部"都有漏洞可以劫持資料。

關鍵處就是當使用者用 Facebook  APP 並從塗鴉牆上下載圖片、文件等資料時會產生一個名為 Facebook Access Tokens 識別,而該屬於使用者的識別資料會被儲存在Android 裝置上的 Android logcat 中,使得第三者可用 adb shell 等軟體讀取出來該識別的隱私資料。

那麼這個 Facebook Access Tokens 識別資料外洩對使用者有甚麼影響?
假設使用者從 Android 裝置上下載免費/付費的第三方 APP,如果該 APP 具有讀取 logcat 功能並輸出的話,就可以將該資料送到該第三方APP的伺服器中。有了這些識別資料就等同於知道該使用者的身分,可以依此接管(控制)其FB的帳號。


參考網址:http://attack-secure.com/2013/10/all-your-facebook-access-tokens-are-belong-to-us/
轉載自《網路攻防戰》