Уязвимость конечной точки Facebook Business Manager позволяет стороннему приложению взломать страницу. аккаунт в Фэйсбуке С ограниченными разрешениями жертва навсегда потеряет доступ администратора к странице.
По умолчанию интерфейс не позволяет Приложение Facebook Для сторонних приложений путем добавления или изменения ролей администратора страницы (такие роли страницы, как администратор, редактор, аналитик и т. Д.). Сторонним приложениям разрешено выполнять все операции, такие как статусы публикации от вашего имени, публикация фотографий и т. фактический владелец.
С другой стороны, существует конечная точка бизнес-страниц, называемая разрешениями пользователя, которая позволяет добавлять или удалять роли администраторов бизнес-страниц, которые уже имеют дело с бизнесом Facebook.
Следующий запрос сделает целевого пользователя администратором страницы.
Запрос: POST / /userpermissions HTTP/1.1 Host: graph.facebook.com Content-Length: 245 role=MANAGER&user= &бизнес= &access_token= Ответ: Верно
После нескольких минут тестирования я узнал, что удаление бизнес-параметра из запроса не вызвало никаких ошибок и позволило нам добавить кого-либо в качестве нового администратора страницы и удалить фактического администратора страницы на некоммерческой странице, где приложение имеет разрешение администратора.
Это оно! Каким бы ни было приложение, если у него есть разрешение manager_pages от администратора, оно может взломать все страницы своей учетной записи Facebook всего за несколько секунд.
Захват страницы:
Запрос: POST / /userpermissions HTTP/1.1 Host: graph.facebook.com Content-Length: 245 role=MANAGER&user= &access_token= Истинный
Удалите пострадавшего:
Запрос: Удалить / /userpermissions HTTP/1.1 Host: graph.facebook.com Content-Length: 245 user= &access_token= Ответ: Верно
Вот и все! Целевая страница взломана!
Об этой уязвимости было сообщено команде безопасности Facebook, и теперь она полностью устранена.
Диалог разрешений будет выглядеть так
Если запрашивается manager_pages, обратите внимание, что это приложение сможет управлять вашими страницами (статусы сообщений, изображения публикаций и т. Д.)
Людям не нужно беспокоиться, вы все равно можете изменять разрешения, которые вы дали приложениям. другое здесь.
Вы также можете прочитать, как Зарабатывайте с помощью блогов в нашей статье. Это доказательство АЗ Ведение блога поможет вам получить первую проверку.
