11 хакерских способов взломать учетную запись Facebook без пароля

«Как взломать Facebook?» является одним из самых популярных вопросов в Интернете. Многие из нас очень хотят взломать чей-то аккаунт в Facebook, но очевидно, что это непростая работа, по крайней мере, для новичка.

В Интернете есть множество веб-сайтов, на которых вы можете найти различные инструменты и методы взлома Facebook, но большинство из них являются поддельными, а остальные требуют технических знаний. Пожалуйста, остерегайтесь хакерских инструментов, большинство из них на самом деле взламывают вашу учетную запись Facebook, а не целевого пользователя.

Если кто-то может взломать учетную запись Facebook, это означает, что у него есть уязвимость в системе защиты от захвата учетной записи. влияет на ФБ. Они могут продать его черный рынок незаконно за миллионы долларов. Они могут получить мгновенная слава и тысячи долларов в награду если они законно сообщают об уязвимости через программу вознаграждения за обнаружение ошибок.

Что они получают, делясь методом онлайн, причем бесплатно? Что они получают за создание бесплатного инструмента/программы на его основе? Совершенно ничего.

Итак все бесплатные хакерские инструменты, которые вы видите в Интернете, являются поддельными. Не тратьте свое драгоценное время на поиск таких хакерских инструментов.

Если все методы взлома FB требуют технических знаний, то почему у большого количества людей взламывают аккаунты?

Есть некоторые методы, такие как фишинг, которые можно легко использовать с помощью ресурсов, доступных в Интернете. Вы можете узнать больше о таких методах взлома Facebook.

Также узнайте, почему Facebook наградил меня 10 000 долларов США за взлом личных фотографий мобильного приложения Facebook с использованием уязвимости в системе безопасности.

Вор не всегда может использовать ваш дверной проем, чтобы проникнуть в дом. Так же, хакеру может не понадобиться ваш пароль все время, чтобы взломать вашу учетную запись Facebook. На самом деле, в большинстве случаев хакеру не нужен пароль для взлома вашей учетной записи Facebook. Звучит странно? Это было бы, если бы вы не хакер 😉

Хакеры не волшебники, чтобы использовать трюки, чтобы сделать шоу. Делают это жестко. Они тратят день и ночь на исследования, чтобы найти уязвимость в системе безопасности Facebook. Взломать учетную запись несложно, если у них есть уязвимость.

Мы собираемся рассказать о некоторых методах взлома Facebook, обнаруженных в программе Bug Bounty, которые могли позволить любому взломать любую учетную запись FB БЕЗ ПАРОЛЯ. Обратите внимание, что все перечисленные здесь методы исправлены командой Facebook и больше не работают. Но вы получите общее представление о том, как хакеры могут взломать учетную запись, не зная фактического пароля. Проверьте ссылку, размещенную в каждом методе, если вы хотите просмотреть более подробную информацию.

1. Взломайте любую учетную запись Facebook с помощью мобильного SMS

Эта уязвимость может позволить пользователю легко взломать учетную запись FB за доли секунды. Все, что вам нужно, это активный номер мобильного телефона. Эта уязвимость существовала в конечной точке подтверждения номера мобильного телефона, где пользователи подтверждают свой номер мобильного телефона.

Выполнение этой уязвимости очень просто. Мы должны отправить сообщение в следующем формате.

FBOOK до 32665 (для США)

Вы должны получить короткий код. Затем запрос к серверу FB с идентификатором целевого пользователя, шорткодом и несколькими другими параметрами может сотворить чудо.

Пример запроса

Сообщение /ajax/settings/mobile/confirm_phone.php
Хост: www.facebook.com

Вот и все. Отправка этого запроса на сервер Facebook с любыми пользовательскими файлами cookie может взломать целевую учетную запись. Ваш номер мобильного телефона будет привязан к учетной записи FB целевого пользователя, как только вы получите ответ от сервера FB. Теперь вы можете инициировать запрос на сброс пароля, используя номер мобильного телефона, и легко взломать целевую учетную запись.

Эта уязвимость была обнаружена Джеком в 2013 году. Команда безопасности FB довольно быстро исправила проблему и вознаградила его 20 000 долларов США в рамках своей программы вознаграждений.

2. Взломайте любую учетную запись Facebook, используя Brute Force Attack

Эта уязвимость методом грубой силы приводит к полному захвату аккаунта FB, который был обнаружен Анандом в 2016 году. Facebook вознаградил его 15 000 долларов в рамках своей программы вознаграждения за обнаружение ошибок.

Эта уязвимость обнаружена в конечной точке сброса пароля Facebook. Всякий раз, когда пользователь забывает свой пароль, он / она может сбросить свой пароль, используя эту опцию, введя свой номер телефона или адрес электронной почты.

Пользователю будет отправлен 6-значный код, чтобы проверить, сделан ли запрос заинтересованным лицом. Затем пользователь может сбросить свой пароль, введя 6-значный проверочный код.

Нельзя пробовать разные комбинации кода более 10-12 попыток, так как сервер FB временно заблокирует учетную запись для сброса пароля.

Ананд обнаружил, что mbasic.facebook.com и beta.facebook.com не смогли выполнить проверку грубой силы, что позволило злоумышленнику попробовать все возможности шестизначного кода.

Пример запроса

Опубликовать /восстановить/как/код/
Хост: mbasic.facebook.com

Перебор всех возможностей (брутфорс) шестизначного параметра (n=123456) позволяет злоумышленнику установить новый пароль для любого пользователя ФБ. Это может быть достигнуто с помощью любого инструмента грубой силы, доступного в Интернете.

Facebook устранил эту уязвимость, установив ограничения на количество попыток, которые можно выполнить в конечной точке кода сброса.

3. Взлом любой учетной записи Facebook с помощью Brute Force Attack — 2

Арун обнаружил ту же самую уязвимость в другом субдомене (lookaside.facebook.com) Facebook, которая принесла ему вознаграждение в размере 10 000 долларов от Facebook в 2016 году.

Первоначально они отвергли ошибку, заявив, что не могут ее воспроизвести. Уязвимость была принята только через несколько недель, и исправление было выпущено, как только их команда безопасности смогла воспроизвести проблему.

И пример запроса выглядит так

Опубликовать /восстановить/как/код/
Хост: lookaside.facebook.com

Сценарий атаки точно такой же, как и в предыдущем методе, единственное отличие — доменное имя.

4. Взлом любой учетной записи Facebook с помощью атаки с подделкой межсайтовых запросов.

Этот метод требует, чтобы жертва посетила ссылку на веб-сайт (в браузере, где жертва должна войти в Facebook), чтобы завершить хакерскую атаку.

Для тех из вас, кто не знает об атаках CSRF, читайте об этом здесь.

Уязвимость существовала при заявлении конечной точки адреса электронной почты Facebook. Когда пользователь требует адрес электронной почты, на стороне сервера не выполняется проверка того, какой пользователь делает запрос, поэтому это позволяет запрашивать адрес электронной почты для любой учетной записи FB.

Прежде чем создавать страницу атаки CSRF, вам необходимо получить URL-адрес утверждения электронной почты. Для этого попробуйте изменить свой адрес электронной почты на адрес электронной почты, который уже используется для учетной записи FB.Затем вас попросят потребовать электронное письмо, если оно принадлежит вам.

Всплывающее окно с кнопкой претензии должно перенаправить вас на нужный нам URL-адрес, как только мы нажмем кнопку претензии.

URL-адрес должен выглядеть как

У вас есть URL-адрес. Последнее, что нам нужно сделать, это создать страницу, чтобы поместить URL-адрес в iframe и отправить его жертве.

Адрес электронной почты будет привязан к учетной записи жертвы в Facebook, как только он перейдет по URL-адресу. Вот и все. Теперь вы можете взломать учетную запись жертвы в Facebook с помощью опции сброса пароля.

Эта уязвимость захвата учетной записи CSRF была обнаружена Дэном Меламедом в 2013 году и немедленно исправлена ​​командой безопасности FB.

5. Взломать любую учетную запись Facebook с помощью CSRF — 2

Этот метод взлома аналогичен предыдущему, когда жертве необходимо посетить веб-сайт злоумышленника, чтобы атака сработала.

Эта уязвимость была обнаружена в конечной точке импортера контактов. Когда пользователь разрешает Facebook доступ к книге контактов Microsoft Outlook, делается запрос на сервер FB, который, в свою очередь, добавляет адрес электронной почты в соответствующую учетную запись Facebook.

Это можно сделать с помощью Найти контакты вариант в Facebook-аккаунте злоумышленника. Затем вы должны найти следующий запрос к серверу FB (используйте перехватывающий прокси, например, burp)

Тот же запрос GET можно использовать для выполнения атаки CSRF. Все, что вам нужно сделать, это вставить URL-адрес в iframe на странице атаки и поделиться ссылкой с жертвой.

Аккаунт жертвы может быть взломан, как только жертва зайдет на страницу атаки.

Эта ошибка была обнаружена Джосипом в 2013 году и исправлена ​​командой безопасности FB.

6. Взлом любых действий в аккаунте Facebook — обход CSRF

Эта уязвимость CSRF позволяет злоумышленнику полностью завладеть учетной записью, а также имеет возможность выполнять любые действия, такие как отметка «Нравится», публикация фотографии и т. д. в учетной записи жертвы Facebook анонимно, без взлома учетной записи.

Эта уязвимость существовала в конечной точке менеджера рекламы. Образец учетной записи, принимающий запрос CSRF, выглядит следующим образом

Все, что нужно сделать злоумышленнику, — это создать CSRF-страницу с формой для автоматической отправки запроса на публикацию в iframe, когда жертва переходит на страницу. Электронная почта злоумышленника будет анонимно добавлена ​​в учетную запись жертвы.

Затем злоумышленник может взломать учетную запись жертвы в Facebook, сбросив пароль.

Это было найдено Pouya Darabai в 2015 году и получило награду в размере 15 000 долларов США в рамках программы Facebook Bug Bounty.

7. Взломайте любую страницу Facebook, не будучи администратором

Этот метод взлома страницы Facebook был обнаружен Аруном в 2016 году и получил за это вознаграждение в размере 16 000 долларов США.

Конечная точка бизнес-менеджера, используемая для назначения партнера, была уязвима в этом случае. Изменение параметра идентификатора бизнес-актива партнера на идентификатор страницы позволило Аруну взломать любую страницу.

Пример запроса

POST /business_share/asset_to_agency/
Хост: business.facebook.com

Параметр Business ID должен быть назначен бизнес-идентификатору злоумышленника, а параметр идентификатора актива должен быть заменен идентификатором целевой страницы Facebook.

Вот и все. Теперь целевая страница должна принадлежать бизнесу. Злоумышленник может удалить существующих администраторов страницы, чтобы полностью захватить страницу Facebook.

8. Взлом личных фотографий пользователя Facebook

Эта уязвимость в личных фотографиях была обнаружена мной в 2015 году и получила вознаграждение в размере 10 000 долларов США в рамках их программы вознаграждений.

Что я имею в виду под частными фотографиями? Фотографии, которые у вас есть в мобильном телефоне и не опубликованы в Facebook, — это те, которые я имею в виду, когда говорю «личные фотографии».

Мобильное приложение имеет функцию по умолчанию, которая называется синхронизация мобильных фотографий. Интересно, что на некоторых мобильных телефонах эта функция включена по умолчанию.

Эта функция загружает ваши мобильные фотографии на сервер FB, но сохраняет их конфиденциальность до тех пор, пока вы вручную не опубликуете их на Facebook.

Уязвимость в конечной точке, обрабатывающей эти личные фотографии, позволяет любому стороннему приложению просматривать/получать доступ к личным фотографиям пользователя.Чтобы эта атака сработала, стороннее приложение должно иметь доступ к общедоступным фотографиям пользователя, и только тогда оно может получить доступ к личным фотографиям.

Пример запроса к Graph API для доступа к личным фотографиям жертвы выглядит так

Поймай меня/vaultimages
Хост: graph.facebook.com

Вот и все. Ответ от конечной точки API должен содержать URL-адреса личных фотографий жертвы.

Facebook исправил проблему, добавив в белый список приложения, которые могут получить доступ к конечной точке vaultimages.

9. Взлом фотографий любого пользователя Facebook

Арул Кумар нашел способ удалить любую фотографию на Facebook в 2013 году, и они вознаградили его за это 12 500 долларов.

В Facebook есть функция, позволяющая сообщить о фотографии владельцу, если кто-то хочет, чтобы фотография была удалена. Владелец фотографии получает уведомление и ссылку для удаления фотографии, о которой кто-то сообщил.

Арул обнаружил, что функция фотоотчета на панели поддержки не проверяла должным образом идентификаторы владельцев, поэтому она позволяла ему заменить параметр идентификатора владельца на идентификатор своей учетной записи Facebook, чтобы напрямую получить ссылку для удаления фотографии.

Затем злоумышленник может удалить фотографию с помощью полученной ссылки из эксплойта. Хуже всего в этой атаке то, что жертва не узнает, что фотография была удалена. Сейчас эта уязвимость полностью устранена.

10. Взломать фото/видео альбомы любого пользователя Facebook

Эта уязвимость была обнаружена мной в 2015 году и позволяла удалять любые альбомы на Facebook. Альбомы с тысячами фото и видео можно удалять мгновенно, без участия их владельца.

Graph API — это основной способ связи между сервером и собственными/сторонними приложениями. Узел «Альбомы» конечной точки Graph API был уязвим для небезопасной ссылки на объект, поэтому он позволял мне выдавать идентификатор альбома любого пользователя для обработки удаления.

Образец запроса на удаление любого фотоальбома Facebook

Это может привести к удалению альбома, указанного в параметре ID. Злоумышленник должен иметь разрешение на просмотр альбома для завершения атаки.Facebook исправил эту проблему, исправив конечную точку, чтобы разрешить только пользователям с привилегиями, и вознаградил меня 12 500 долларов США за сообщение об уязвимости.

11. Взломайте любые видео на Facebook

Пранав обнаружил уязвимость, которая позволяла ему удалять любые видео с Facebook без разрешения.

В Facebook есть возможность добавлять видео к комментариям к любому посту. Пранав обнаружил, что прикрепление существующих видео к комментарию возможно, а удаление комментария может позволить нам легко удалить исходное видео.

Таким образом, злоумышленник должен попытаться отредактировать существующий комментарий к сообщению с чьим-либо идентификатором видео в Facebook с помощью следующего запроса API графа.

Целевое видео должно быть добавлено в комментарий. Теперь злоумышленник должен удалить комментарий, чтобы удалить исходное видео. Видео должно быть удалено через несколько секунд после удаления комментария.