找回密码
 骑士注册

QQ登录

微博登录

搜索
❏ 站外平台:

Linux中国开源社区 新闻 查看内容

Facebook再一次拒付赏金:删除Facebook任意账号漏洞

2013-09-12 11:12    评论: 2    

前些日子里,Facebook拒绝了向Khalil Shreatech付赏金。Khalil Shreatech何许人也?他是一名安全研究员,曾经用他发现的这个bug向Facebook的CEO mark Zuckerberg反馈过。之前Facebook的安全部门已经拒绝了他的多次反馈。我想大家都有所耳闻了。

看看下面这位仁兄:

Ehraz Ahmed, 一名独立的安全研究专家,他声称他向fb的安全部门反馈过一个严重的安全漏洞。该漏洞可以删除Facebook上的任何账号。

但Facebook拒绝给出漏因洞赏金,因为他用他朋友的账号测试了一次。Ehras Ahmed在他的博客上说道:“我给Facebook反馈了这个漏洞,但我对他们的态度不是很满意。在等了很长时间以后,他们竟然拒绝了我的漏洞提交。还说我用这个漏洞删除了真实用户的账号而不是一个测试账号。现在漏洞已经被他们修复了。”

来看看漏洞的视频演示:


地址(需翻墙) 

漏洞详情

其中参数selectd_users[0]和__user参数是可以利用的漏洞点。

黑客曾经声明过可以用网站漏洞删除Facebookceo的账号。但这次,这个漏洞被Facebook安全部门修复了。然而就在发稿的4天前,Facebook还修复了另外一个恶意删除用户相片的漏洞。

难道说那些漏洞狩猎者应该停止向厂商反馈漏洞转向出售0day到地下黑市?

更新:

据fb官方声明,Facebook的交流经理Michael kirklan给计算机世界的Blog里提到过Ahmed,Ahmed被他称为“骗子”。

博客里是这样说道的:
———————————

这不是一个真正的漏洞。我们已经审核了代码,校验我们找到一切可以利用代码的地方,发现都没有结果。我们还校验了日志,试图找出所谓的"测试账号",这些账号曾出现在演示视频里。这些账号曾经被手动失效过。这些如果都是真的,肯定在日志里有记录。 这就是一个简单的骗术。演示视频里的html源代码清清楚楚的写着“没有用户被删除"。我们已经校验了目标账号和日志信息。这些账号被手动失效过。 任何一个人都可以访问: http://www.facebook.com/whitehat/account/ 并且校验传递给查询的selectd_users[0]和__user参数。我们已经审计了我们的代码没有找到可以利用的地方。事实上,最近的一次代码提交是在今年4月完成的。当时就已经确保没有任何安全隐患了。。

小编:看来安全赏金不容易拿啊,对方都是先确认了没有安全隐患再丢出来给大家玩的。

via http://www.freebuf.com/news/12444.html 

最新评论

我也要发表评论

微博评论 2013-09-12 11:33 回复
@话题 : 你好,话题#Facebook再一次拒付赏金:删除Facebook任意账号漏洞#暂无主持人,赶快去抢吧!http://t.cn/z8NyKyt
夜域诡士 2014-01-26 22:32 回复
无意中提倡专家走向黑市,还要靠专家自律,这是一个坏的影响。

收藏

返回顶部

分享到微信

打开微信,点击顶部的“╋”,
使用“扫一扫”将网页分享至微信。