Helaas!De bug die Facebook-gebruikers op de wall van anderen laat posten ondanks dat zij geen vrienden zijn. De ontwikkelaar toont hoe de exploit werkt.
Reacties (31)
Volgens mij gewoon console openen en wat id's veranderen en server side word er niets gechecked.
:strip_icc():strip_exif()/u/108855/grootbeertje.jpg?f=community){kind=small}
Tegelijkertijd een beginnersfout, maar wordt door routine ook af en toe vergeten door mensen met ervaring. Je moet nu eenmaal elk id, nummer, text, .. dubbelchecken op de server.
Dit bewijst maar weer, rechten moeten server side gecontroleerd worden, niet client side. De client moet zich als een "domme terminal" gedragen, de intelligentie moet in de server.
/u/49730/babby%2520tux.png?f=community){kind=small}
Als je enigszins gebruikersvriendelijkheid wilt aanbieden moet je het én client side én server side controleren. De interface moet geen dingen toelaten die niet kunnen of mogen om te voorkomen dat de gebruiker zich ergert als dingen niet werken.
De server moet geen dingen toelaten die niet kunnen of mogen om te voorkomen dat kwaadwillende gebruikers scripts kunnen misbruiken om hun doel te bereiken.
Server side is vanuit een beveilingsoogpunt dan wel de belangrijkste, maar vanuit een usability oogpunt is de client side check juist het belangrijkst.
De server moet geen dingen toelaten die niet kunnen of mogen om te voorkomen dat kwaadwillende gebruikers scripts kunnen misbruiken om hun doel te bereiken.
Server side is vanuit een beveilingsoogpunt dan wel de belangrijkste, maar vanuit een usability oogpunt is de client side check juist het belangrijkst.
Ik gok dat ze dit bij Facebook ook wel snappen, gezien dit op alle andere 10000 plekken wel goed gecontroleerd wordt. Als je zoveel plekken hebt waar zoiets mis kan gaan is het gedoemd op 1 plekje ook mis te gaan.
Ik vind de reactie van FB (of het uitblijven daarvan) toen deze meneer de exploit meldde kwalijker.
Ik vind de reactie van FB (of het uitblijven daarvan) toen deze meneer de exploit meldde kwalijker.
/u/41398/halo_icon_bll.JPG?f=community){kind=icon}
God knows hoeveel browser webgames ik idd daarmee kapot heb gemaakt, beetje klooien met id's en opeens heb je tonnen van een items of gaan dingen heehl snal xDTegelijkertijd een beginnersfout, maar wordt door routine ook af en toe vergeten door mensen met ervaring. Je moet nu eenmaal elk id, nummer, text, .. dubbelchecken op de server.
Deze video laat zien dat het mogelijk is maar niet geheel hoe, ben niet van mening dat de ontwikkelaar toont hoe de exploit exact werkt.
/u/3586/bismarck.png?f=community){kind=small}
Maar het laat zich natuurlijk wel raden. Je kopieert de id uit de graph page en voegt die in de HTML van je eigen post in. Ik denk dat het je een minuut kost om het precies uit te vogelen.
Och... dit is een beetje standaard "formuliertje aanpassen"
Je gaat naar een vriend toe, typt daar je post,
Je doet element inspecteren op het post form, je zoekt de waarde "xhpc_targetid" en vult daar het gewenste target in, (die je via de graph api hebt achterhaalt)
Niet geprobeerd, maar na dat filmpje gezien te hebben, en een keer op element inspecteren geklikt te hebben, en naar het id nummer van de graph api van die persoon gezocht te hebben lijkt dit me de logische conclusie.
Je gaat naar een vriend toe, typt daar je post,
Je doet element inspecteren op het post form, je zoekt de waarde "xhpc_targetid" en vult daar het gewenste target in, (die je via de graph api hebt achterhaalt)
Niet geprobeerd, maar na dat filmpje gezien te hebben, en een keer op element inspecteren geklikt te hebben, en naar het id nummer van de graph api van die persoon gezocht te hebben lijkt dit me de logische conclusie.
Lijkt inderdaad wel, dan is het toch opvallen dat dit niet eerder opgemerkt is.
/u/30346/crop6571ad31b4cbc_cropped.png?f=community){kind=small}
Ik kan wel raden hoe het werkt.. In het post formuliertje staat een userid, dat moet je aanpassen naar een ander userid..
Dit klinkt te simpel om waar te zijn.. Ik zal het eens testen..
Volgens mij moest je dit ID aanpassen:
<input type="hidden" autocomplete="off" name="xhpc_targetid" value="786819828">
Maar ik krijg de error:
Dit klinkt te simpel om waar te zijn.. Ik zal het eens testen..
Volgens mij moest je dit ID aanpassen:
<input type="hidden" autocomplete="off" name="xhpc_targetid" value="786819828">
Maar ik krijg de error:
Could Not Post to Timeline
The message could not be posted to this Timeline.
[Reactie gewijzigd door pim op 22 juli 2024 19:02]
:strip_icc():strip_exif()/u/250920/wp_ss_20121230_0005%2520ava.jpg?f=community){kind=small}
<input type="hidden" autocomplete="off" name="xhpc_targetid" value="100000000000000">
daar moet je de value aanpassen waar het aantal cijfers gelijk blijft (b.v. 100000123456789)
daar moet je de value aanpassen waar het aantal cijfers gelijk blijft (b.v. 100000123456789)
:strip_icc():strip_exif()/u/5964/crop56503163e97a5.jpeg?f=community){kind=small}
Oudere Facebook ID's zijn niet zo lang, vanaf een bepaald tijdstip zijn ze prefixed met een 1 en x aantal nullen dus volgens mij klopt je aanname niet.
in de graph.facebook.com pagina was mijn id zonder prefix nullen terwijl ik ze wel nodig had om de reactie te plaatsen
de eerste 2 minuten kan je wel skippen, voor de rest laat hij niet eens zien wat hij in het developers console doet... zelden zo een slecht filmpje en uitleg gezien.
afgezien van dat ziet het er wel vrij simpel uit om te doen
afgezien van dat ziet het er wel vrij simpel uit om te doen
:strip_exif()/u/383538/crop6894764fde752_cropped.webp?f=community){kind=small}
Ziet er interessant uit, maar ondertussen mis ik veel van wat hij daadwerkelijk in de developer console doet. Had liever een uitgebreide blogpost gezien waar het duidelijk wordt uitgelegd, dat is toch wat beter dan dit.
/u/437156/rsz_optimized-neeebn.png?f=community){kind=small}
Ik heb dit geprobeerd met iemand die ik ken : als deze geen vriend is krijg je de melding : "kan bericht niet op prikbord plaatsen" maar als je dit doet als je wel vrienden bent gaat het wel door de html aan te passen
je verandert de eerste 2 (of 3) targetid 's in de value van de persoon op wie zen prikbord je wil schrijven
mij lijkt het dat de bug al door fb verwijdert is.
je verandert de eerste 2 (of 3) targetid 's in de value van de persoon op wie zen prikbord je wil schrijven
mij lijkt het dat de bug al door fb verwijdert is.
:strip_icc():strip_exif()/u/341611/crop59bdeb03f3805_cropped.jpeg?f=community){kind=small}
Deze bug werkt niet meer omdat de bug dinsdag al gefixed was?
Bron:http://www.theverge.com/2013/8/18/4633046/facebook-security-bug-let-anyone-post-on-walls
Bron:http://www.theverge.com/2013/8/18/4633046/facebook-security-bug-let-anyone-post-on-walls
:strip_exif()/u/16970/crop57cd1ef1eb0d0.gif?f=community){kind=small}
Dit moet wel het saaiste filmpje ooit zijn, waarom niet gewoon een Engelse voice over?
Omdat hij waarschijnlijk niet zo heel goed Engels spreekt. Het typen is waarschijnlijk duidelijker dat het spreken
Dan had hij gewoon een blog-post met wat screenshots moeten maken ipv een filmpje. Sowieso vind ik de ontwikkeling van de laatste tijd dat elke howto etc maar een filmpje moet zijn een zeer kwalijke zaak, bij een tekst is het veel makkelijker te scannen en de relevante dingen eruit te pikken.
zo zie je dat het echt gebeurd en dat er geen truckjes aan te pas komen.
Ook denk ik niet dat hij een howto zou plaatsen, je kan namelijk niet zien hoe hij het precies gedaan heeft, enkel het resultaat. Hij wil een probleem aankaarten, niet delen zodat iedereen het kan.
Ook denk ik niet dat hij een howto zou plaatsen, je kan namelijk niet zien hoe hij het precies gedaan heeft, enkel het resultaat. Hij wil een probleem aankaarten, niet delen zodat iedereen het kan.
ja, want filmpjes zijn niet te editen enzo...
Dan had hij alsnog van tevoren alles kunnen typen en dan in het filmpje zelf daar doorheen scrollen. Zo zitten we het grootste deel van de tijd te kijken naar iemand die sloom aan het typen is, en dat vind ik persoonlijk niet zeer boeiend 
Maar nu niet meer over de video zelf maar over waar de video nou over gaat:
Toch wel apart dat dit nú pas wordt opgemerkt en dat dit zo gemakkelijk kan..
Maar nu niet meer over de video zelf maar over waar de video nou over gaat:
Toch wel apart dat dit nú pas wordt opgemerkt en dat dit zo gemakkelijk kan..
:strip_exif()/u/48786/ohjajoh.gif?f=community){kind=small}
Nou, wie gaat er iets naar onze Zuck posten? Dan duurt het vast niet lang voor het gefixed is.
{
"id": "4",
"name": "Mark Zuckerberg",
"first_name": "Mark",
"last_name": "Zuckerberg",
"link": "http://www.facebook.com/zuck",
"username": "zuck",
"gender": "male",
"locale": "en_US"
}
{
"id": "4",
"name": "Mark Zuckerberg",
"first_name": "Mark",
"last_name": "Zuckerberg",
"link": "http://www.facebook.com/zuck",
"username": "zuck",
"gender": "male",
"locale": "en_US"
}
Dat heeft hij zelf inmiddels al gedaan. Toen was het wel snel gefixt.
http://www.businessinside...to-hack-zuckerberg-2013-8
http://www.businessinside...to-hack-zuckerberg-2013-8
Is deze vent wel een "ontwikkelaar"?
Lijkt me eerder dat hij de ontdekker is van deze bug. Ontwikkeling komt er niet echt aan te pas naar mijn mening.
Lijkt me eerder dat hij de ontdekker is van deze bug. Ontwikkeling komt er niet echt aan te pas naar mijn mening.
Op dit item kan niet meer gereageerd worden.