19.09.2016

Facebook hesabı nasıl ele geçirilir? En sık sorulan sorulardan değil mi?

 

Beyaz şapkalı bir hacker temel bilgisayar bilgileri ile birden fazla hesabın nasıl ele geçirilebileceğini kanıtladı.

 

Gurkirat Singh tarafından keşfedilen Facebook’un parola yenileme servisindeki bir tekrarlama zafiyetinden faydalanarak kullanıcının hesabına girip tüm bilgileri ele geçirerek onun adına mesajlar yazılabilir duruma gelinebiliyor.

 

Facebook’un parola yenilemekte kullandığı 6 haneli giriş kodu 10 üzeri 6 = 1.000.000 farklı kombinasyon sunuyor. Dolayısı ile kimsenin parolasını değiştirmediği kısa süreli bir parola değişimi silsilesi ile 1.000.001 kişinin parolası yenilenirse iki hesabın parola yenileme geçiş kodu aynı olur (mbasic.facebook.com üzerinden yapıldığında).

 

Önce iki milyon kullanıcı ID’si oluşturmak için Facebook Graph API üzerinden ID numaralından kullanıcı adlarına ulaşarak 2 milyon geçerli Facebook kullanıcı adı listesi oluşturuyoruz.

 

Sonra bir script yardımı ile yüzlerce Proxy ve rastgele tarayıcı isimleri kullanarak 2 milyon kullanıcının parolalarını yeniliyoruz.

 

En son da script ile kendi belirlediğimiz herhangi bir 6 haneli sayı ile tüm listenin parola yenileme sürecini tamamlatıyoruz.

 

Ve elimizde geçerli birkaç kullanıcı adı ve parola ile artık o hesaplarda istediğimizi yapabilir durumdayız.

 

Facebook bu durumu ilettiğinde kanıt istemiş, kanıt ile ilettiğinde ise hatayı yamayarak Gurkirat’a 500 dolar ödül vermiş.