Kerentanan Facebook - Hati-hati A XSS Baru di Facebook!

Url : https://m.facebook.com/connect/prompt_feed.php?display=wap&user_message_prompt=%3Cscript%3Ealert%281
%29%3C/script%3E

New Cross-site scripting kerentanan telah terdeteksi di Facebook dan banyak dimanfaatkan dalam versi mobile API, kerentanan ini memungkinkan pengguna untuk memasukkan JavaScript berbahaya konten ke situs web dan korban mengalihkan browser ke URL disiapkan.

Saya telah melihat ini cacat dalam beberapa hari terakhir, banyak dari daftar teman saya posting beberapa hal yang aneh pada dinding dan dengan Hanya mengunjungi situs web yang terinfeksi sudah cukup untuk mengirim pesan bahwa penyerang telah dipilih. Oleh karena itu seharusnya tidak mengejutkan bahwa sebagian dari pesan-pesan yang menyebar sangat cepat melalui Facebook. Beberapa posting link ke situs yang terinfeksi, menciptakan worm XSS yang menyebar dari pengguna ke pengguna.

Tidak ada interaksi pengguna dibutuhkan, sehingga pesan-pesan yang menyebar melalui Facebook dengan cepat. Tim keamanan agar telah diberitahu tentang kerentanan dan bekerja pada memperbaiki. Semoga itu akan dikeluarkan segera, karena serangan itu tampaknya mudah untuk menciptakan kembali.

Symantec menyarankan pengguna untuk log out dari Facebook ketika mereka tidak aktif menggunakan atau untuk menggunakan script-blocking add-ons untuk mencegah serangan.

Paparan tentang privasi di facebook!

Jika Anda punya keraguan tentang privasi di facebook, berikut adalah daftar yang berisi ratusan pengguna dan password, bagaimana bisa begini? Mudah, setiap aplikasi yang meminta izin bisa mendapatkan mandat Anda!

Dan kemudian tidak mengatakan bahwa kami tidak memperingatkan: P


WikiLeaks pendiri Julian Assange mengatakan Facebook adalah Mengintip Anda dan Anda Loved Ones


"Disini kita memiliki database dunia yang paling komprehensif tentang orang-orang, hubungan mereka, nama-nama mereka, alamat mereka, lokasi mereka dan komunikasi satu sama lain, keluarga mereka, semua duduk di Amerika Serikat, semua intelijen diakses oleh AS."


Baca Berita Lainnya Mengenai Facebook pada THN:

• A Syrian Man-In-The-Middle Attack against Facebook
• Facebook is not Exclusion, XML Vulnerability !
• Truth About Facebook -  CIA, U.S. government - Everything Related !
• Vulnerability in Facebook Email feature Exposed !
• Facebook bypass of the cache servers ,Check who visits your profile
  • Assange says Facebook is spying tool for US intelligence !
  !

Bypass dapat dari server cache, Periksa yang mengunjungi profil Anda!

RingkasanMari saya jelaskan lubang keamanan di Facebook dalam kaitannya dengan server cache mereka, yang membentuk suatu lapisan antara internet dan internal konten multimedia (foto dan video upload). Putusan ini, memungkinkan akses ke browser meminta baku dari teman-teman kita, sehingga informasi pribadi orang-orang ini (web-bug), atau digunakan sebagai jembatan untuk mengambil keuntungan dari kerentanan eksternal lainnya (CSRF).Facebook dan lapisan menengahSering kali Anda telah melihat hal ini "menggunakan aplikasi ini dan mencari tahu orang yang mengunjungi profil Anda, kanan, Nah, ini akan selalu palsu,? karena dapat dirancang dengan cara yang membuat tidak mungkin. Jika Anda melihat, ketika Anda naik foto seperti profil, itu diubah ukurannya, dikompres, dan disimpan di server sendiri agar itu Sebenarnya, ada ratusan server, yang membentuk apa yang disebut CDN Contoh foto profil..:

    http://profile.ak. fb .net/hprofile-ak-snc4/41513_1381714233_4208850_q.jpg CDN
Jika Anda pergi ke account Facebook Anda, Anda melihat kode sumber (Ctrl + U di Firefox), dan mencari urutan `fbcdn 'akan penuh. Dan kasih karunia ini. Bagaimana jika Anda menggunakan program seperti 'Tamper Data', Anda akan melihat bahwa semua permintaan there.Nothing pergi keluar.Pertanyaannya adalah: Mengapa? Karena itu, Facebook akan menghemat banyak masalah keamanan (termasuk privasi), mendapatkan kontrol penuh atas yang pergi dan di mana ia pergi (data mining). Ini bukan biaya nol ke Facebook, tapi itu benar-benar sangat mahal secara finansial.Perhatikan bahwa ini bukanlah satu-satunya yang harus dilakukan. Tuenti, misalnya, juga memiliki CRC nya sendiri.ProsesTujuannya adalah untuk mendapatkan link langsung ke luar tanpa melalui saringan internal.Pertama, membuat catatan baru. Isi harus setidaknya kode berikut:

  <img src="http://[dirección]" />
Setelah catatan dibuat, Anda dapat memilih siapa adalah target ini. Hal ini sangat penting karena akan sangat penting untuk memimpin serangan ke orang tertentu atau kelompok:Setelah dibuat, jika kita melihat kode sumber, kita dapat melihat bahwa telah dibuat di bawah arahan dari CRC:

:

Sekarang kita bisa pergi ke dinding kita, yang telah menciptakan auto-posting baru, dan menghapusnya. Tidak ada gunanya. Apa yang perlu anda lakukan adalah berbagi catatan secara manual. Kita juga harus memilih dengan siapa kita berbagi, seperti yang kita lakukan saat membuat itu. Perbaiki dalam kode yang direplikasi.

Ini dikirim kode ini mentah, tidak replika dibuat jika gambar atau video upload dengan cara yang khas, yangsekarang tertanam. Facebook adalah waspada terhadap gambar yang masuk melalui catatan bagian, adalah"up", tidak eksternal, jadi jangan meletakkan jaminan tambahan.
Hasilnya adalah seperti yang diharapkan:

Kegunaan
Saya lihat 2 vektor serangan, namun imajinasi kekuasaan.
1) Ambil data melalui bug-web. Apakah untuk menempatkan server Anda sendiri file dinamis yang berisiinformasi (waktu, ip, user_agent, referer, ...), tetapi menyamar sebagai gambar. Berikut datang kekuasaan set (bisa) agar sehingga hanya meninggalkan gambar di dinding Anda, yang memungkinkan untuk menghitungberapa banyak pengunjung Anda memiliki (woo!).
Saya telah melakukan bukti dari konsep di tingkat teman-teman, dan ada banyak contoh surfing melaluiFacebook Mobile, yang penasaran:

2) menggunakan kerentanan untuk menyerang situs eksternal lain yang rentan terhadap CSRF. Sebuah contohakan dapat beroperasi di bank hanya dengan melakukan panggilan langsung ke satu alamat, misalnya, http://url.ext/mover_dinero.php?de=XXX&a=XXX&cantidad=999999. Ideal untuk menyerang sistem survei, mengkonfigurasi tingkat visibilitas ke `foo ', dan mendorong orang untuk berbagi. Ketahuilah bahwa adalah mungkin untuk membuat panggilan ke gedung ini agar di dalam Referer. ERGIO Arcos tidak punya niat untuk tidak mencoba.
 
Catatan Akhir
 

Pertama, meyakinkan semua orang: "Tidak apa-apa yang serius", seperti yang dilaporkan, dan semua data ERGIO Arcos dikumpulkan dalam pembuktian konsep sama sekali tidak berbahaya. Agar pada saat ini sudah dilindungi.
Saya kira apa yang paling memukul saya ditemukan di situs begitu populer dan begitu diaudit, kesalahan "begitu sederhana". ERGIO Arcos kira Anda sudah beruntung, tetapi ERGIO Arcos dibuat ilusi

hashbot?

Apa itu hashbot?
Hashbot adalah alat web forensik untuk memperoleh dan memvalidasi, dari waktu ke waktu, status dari suatuhalaman web individu atau dokumen web.

Fitur: Memperoleh
Ikuti langkah berikut untuk memperoleh dokumen web:


    1. Dokumen Masukkan URL (yaitu: http://www.evilwebpage.com/image.jpg atauhttp://www.evilwebpage.com/page.html) pada input teks.
    2. Pilih agen pengguna favorit Anda.
    3. Klik Submit. Kode captcha akan diperlukan, untuk alasan keamanan.
    4. Tunggu untuk layanan akuisisi selesai dan klik pada download untuk menyimpan hasilnya.



Mengesahkan
Validasi informasi disimpan dalam file-code.txt di "Validasi Info".


    1. Masukkan kode kunci di lapangan "KODE".
    2. Masukkan file hash memilih sarana antara MD5 atau SHA1 dalam bidang "FILE Hash".
    3. Pilih tipe file hash sesuai dengan jenis hash diisi bidang sebelumnya.
    4. Klik Submit. Kode captcha akan diperlukan, untuk alasan keamanan dan menunggu respon dari server.

Tool: https: / / www.hashbot.com/

Ternyata bahkan jika Anda memiliki Internet, Anda masih rentan terhadap hacker jahat. CEO Facebook Mark Zuckerberg harus mengubah alamat Web untuk halaman fan nya agar larut Selasa malam, setelah seorang hacker muncul untuk mendapatkan akses ke halaman dan memiliki kemampuan untuk menulis pesan status atas nama kepala Facebook.

Aku "Biarkan hacking mulai: Jika facebook [sic] butuh uang, bukan pergi ke bank, mengapa tidak dapat membiarkan penggunanya berinvestasi di Facebook dalam cara sosial Mengapa tidak mengubah agar menjadi cara 'bisnis sosial'? Harga pemenang Nobel [sic] Muhammad Yunus menggambarkannya http://bit.ly/fs6rT3 Bagaimana menurut Anda?? # hackercup2011, "Link bit.ly dalam poin pesan ke halaman Wikipedia tentang "bisnis sosial," mengembangkan sebuah konsep terutama oleh Yunus, seorang ekonom Bangladesh. Bisnis sosial adalah sebuah perusahaan yang ada untuk mencapai tujuan sosial tertentu seperti untuk mengatasi kemiskinan atau meningkatkan akses ke teknologi. Pendiri dan investor dalam bisnis sosial tidak mengambil keuntungan dari perusahaan, tetapi mampu mengembalikan uang investasi awal mereka.Jika status update baru-baru ini benar-benar dari Zuckerberg, rencananya akan datang sebagai kejutan kepada investor yang secara kolektif membayar 1500000000 $ bulan ini untuk sepotong jaringan sosial terbesar di dunia.pengguna Facebook, Namun, tampaknya berada di balik ide untuk mengubah perusahaan menjadi sebuah bisnis sosial. Dalam waktu singkat pesan Zuckerberg konon palsu adalah hidup itu menerima lebih dari 1.800 menyukai dan hampir 450 komentar. Meskipun beberapa komentar menyodok menyenangkan di Zuckerberg atau ejaan hacker tentang Hadiah Nobel.Hacker Cup 2011, hashtag ditemukan di akhir pesan, adalah kompetisi pemrograman tahunan pertama di seluruh dunia-host oleh Facebook.Itu tidak jelas bagaimana halaman tersebut hacked atau siapa yang melakukannya, tetapi agar tampaknya akan mengambil diklaim hack serius karena halaman fans resmi Zuckerberg telah berubah URL. Halaman fan asli atFacebook.com / markzuckerberg baru-baru ini Selasa pukul 07:30 Pasifik, menurut cache Google. Tapi halaman Zuckerberg resmi, bersama dengan hampir 3 juta suka, sekarang atFacebook.com/pages/Mark-Zuckerberg/68310606562.Kami telah mengulurkan tangan untuk Facebook untuk komentar, dan akan memperbarui posting ini jika kita mendengar kembali.Ini akan menarik untuk mendengar apa yang dapat dikatakan, tapi inilah pertanyaan besar: Jika Anda telah hacked fan page Zuckerberg apa yang akan memperbarui status Anda telah? Marilah kita tahu di

Vulnerability in Facebook Email feature Exposed !

Kerentanan di Facebook fitur Email Exposed!


Fitur waktu nama pengguna Facebook adalah Rentan. Setelah aplikasi Facebook, sekarang Facebook fiturusername dapat digunakan untuk lakukan pada profil dapat. Tidak hanya spam, tetapi bug ini dapat digunakan untuk mengirim pesan tidak sah kepada pengguna Facebook dari teman mereka atau salah satu dari orang tak dikenal tanpa persetujuan pengirim

Total Exposure: Pengetahuan tentang Facebook id dan terkait alamat email yang terdaftar adalah elemenkunci untuk meluncurkan mengeksploitasi yaitu, untuk ongkos kirim pesan buatan atas nama target pengguna. Selain pesan posting, spam sama-sama potensial melalui celah ini.

Skenario:
Untuk efektif meluncurkan serangan skenario minimal terdiri sebagai berikut:

     * Target username (xxxx@facebook.com) agar user1 dan email id dari user2 lain agar (email apapun, yang digunakan untuk mendaftarkan account facebook).
     * Untuk meluncurkan serangan penyerang dapat memposting pesan pribadi fiktif atas nama target user2dengan target user1 melalui email palsu dengan menggunakan script php atau online gratis layanan surat palsu.