Ejercicio 1

Facebook OAuth se utiliza para la comunicación entre aplicaciones y usuarios de Facebook, para conceder permisos adicionales a sus aplicaciones favoritas. Para que esto sea posible, los usuariostienen que "permitir o aceptar 'la solicitud de aplicación de modo que la aplicación pueda acceder a su información de cuenta con los permisos necesarios.

Como un usuario normal de Facebook siemprepensamos que es mejor que la introducción de sus credenciales de Facebook, podemos simplemente permitir permisos específicos a una aplicación con el fin de hacer que funcione con tu cuenta.

Hoy Hackerwhitehat 'Nir Goldshlager' informó 'The Hacker News' que él descubrió una vulnerabilidad muy crítica en el sistema de Facebook OAuth, que le permitió obtener el control total sobre cualquier cuentade Facebook fácilmente, incluso sin "permitir o aceptar 'opciones.

A tal fin, buscar el defecto en una forma muy educada, es decir
Paso 1) Entender la URL OAuth
Paso 2) Encontrar una manera deutilizar los parámetros personalizados en la URL
Paso 3) Omisión de OAuth "Permitir" botón a petición del usuario final

 

Goldshlager explicó todo en su blog a través de un mensaje, así será irpaso a paso:

Una.) Comprender la URL OAuth
La URL de Facebook OAuth diálogo es algo como se muestra a continuación:

Cuando app_id es el ID de la aplicación y el parámetro siguiente debe contienela dirección URL del dominio de aplicación respectivo sólo. Por ejemplo app_id = 2389801228 pertenece a la aplicación 'Texas Holdem Poker, así que el' siguiente 'parámetro sólo permitirá zynga.comdominio (es decir, siguiente = http://zynga.com), de lo contrario se bloqueará Facebook esa acción.

Dos.) Encontrar una manera de utilizar los parámetros personalizados en la URL
Goldshlager encontróque Facebook fue lo que le permite utilizar sub dominio de Facebook en el siguiente parámetro en la URL, es decir. https://beta.facebook.com/ # XXX! / messages /. Pero '# xxx! no estaba funcionando...