Google के साथ बग की खोज करें या badoo.com पर अकाउंट हैक करें

मैं आपको बताना चाहता हूं कि कैसे अपने ग्राहकों के खातों की सुरक्षा करता है। यह लेख केवल शैक्षिक उद्देश्यों के लिए लिखा गया है। मैं किसी को गैरकानूनी काम करने के लिए नहीं धकेलता और किसी भी दुर्भावनापूर्ण इरादे का पीछा नहीं करता।

सभी बग बाउंटी कार्यक्रम समान रूप से उपयोगी नहीं हैं।

मार्च 2013 में, बुश ने "शक्ति के लिए टेस्ट सगाई!" प्रतियोगिता की घोषणा की।
प्रतियोगिता ने पुरस्कारों को आकर्षित किया और मैंने, यैंडेक्स के लिए कमजोरियों को खोजने में सफलता से प्रसन्न होकर, साइट पर पंजीकृत किया, देखा कि पत्र में क्या लिंक आए, और बस उन्हें Google खोज बॉक्स में डाल दिया।

सबसे पहले, मैंने ऐसे लिंक खोजे जिनका उपयोग बिना पुष्टि के किसी और के ईमेल पते के तहत रजिस्टर करने के लिए किया जा सकता है, मुझे प्रतिक्रिया में एक पत्र मिला

“धन्यवाद, लेकिन यह एक भेद्यता नहीं है। कृपया हमें शक्ति के लिए परीक्षण करना जारी रखें। ”

Google डॉर्क क्वेरी, बग खोजक

लिंक खोजने के लिए आप Google Dorks का उपयोग कर सकते हैं, साइट पर, सभी संभावित क्वेरी विकल्प एकत्र और सॉर्ट किए जाते हैं।
फिर मुझे कुछ और "छोटी चीजें" मिलीं, जवाब वही था।
मेरा अंतिम खोज बहुत सारे लिंक थे जिनका उपयोग आप badoo.com पर लॉग इन करने के लिए कर सकते हैं, किसी भी हैकिंग कौशल के नहीं होने पर अपने उपयोगकर्ता खाते तक पूरी पहुँच प्राप्त कर सकते हैं। चुनने के लिए विभिन्न देशों के उपयोगकर्ता खाते हैं, बस लिंक का अनुसरण करें और आप अधिकृत हैं। इसके अलावा, लिंक का एक से अधिक बार अनुसरण किया जा सकता है।

हम उदाहरण के लिए, Google में ड्राइव करते हैं : साइट: https: //eu1.badoo.com/access.phtml


हम लिंक का अनुसरण करते हैं और उपयोगकर्ता प्रोफाइल में आते हैं:

पत्राचार के साथ पत्राचार

इस मामले में, मुझे केवल तीसरे पत्र का जवाब मिला:

“यह एक भेद्यता नहीं है, यह एक गलती है और हम निश्चित रूप से इसे ठीक करेंगे।
आपने हमें Google अनुक्रमित पृष्ठों के संबंध में कई एप्लिकेशन भेजे हैं, इन सभी अनुप्रयोगों में आपको बताया गया है कि यह एक भेद्यता नहीं है।
तथ्य यह है कि कानूनी उपयोगकर्ताओं के लिए ऐसे लिंक नुकसान नहीं पहुंचाते हैं - यदि ईमेल पहले से ही सिस्टम में है, तो नया उपयोगकर्ता उसी ईमेल के साथ पंजीकरण नहीं कर पाएगा।
पासवर्ड बदलने के लिए लिंक के रूप में, वे सभी अमान्य हैं - जब हम उनके पास जाते हैं, तो हम कहते हैं कि "लिंक समाप्त हो गया है।"
इसलिए हम Google के जारी करने से अतिरिक्त को हटा देंगे, लेकिन तुरंत नहीं - अनुक्रमण फिलहाल नहीं किया गया है।
यदि आपको अभी भी ऐसे लिंक मिलते हैं जो काम करते हैं और आपको उपयोगकर्ताओं को नुकसान पहुँचाने की अनुमति देते हैं - कृपया विस्तृत निर्देश भेजें कि आप अन्य उपयोगकर्ताओं को कैसे नुकसान पहुँचा सकते हैं, तो हम इस पर विचार करेंगे। "

मैंने किसी और के खाते में प्रवेश करने के खतरे को समझाने की कोशिश की, और पूछा कि क्या मैं हबराब्र पर एक लेख लिख सकता हूं, यहां मुझे प्रतिक्रिया में क्या मिला है:

“एक बार फिर से हमने आपके आवेदन को बहुत ध्यान से देखा और निर्णय लिया कि यह समस्या नहीं है।

जब कोई उपयोगकर्ता हमारी साइट पर पंजीकरण करता है, तो वह स्वयं अपने ईमेल को इंगित करता है। कुछ मामलों में, उपयोगकर्ता एक ईमेल निर्दिष्ट करते हैं, जो उदाहरण के लिए, सभी प्राप्त संदेशों को स्वचालित रूप से प्रकाशित करता है। या उपयोगकर्ता खुद को किसी अन्य तरीके से आधिकारिक लिंक सहित Badoo से प्राप्त पत्रों को खुले तौर पर प्रकाशित करते हैं। फिर, Google प्रकाशित लिंक पाता है और उन्हें अपने खोज परिणामों में शामिल करता है। यदि आप birgo.mynet.com या twitmail.com जैसी साइटों पर जाते हैं , तो आपको हमसे बड़ी संख्या में ऐसे संदेश मिलेंगे जो उपयोगकर्ताओं ने स्वयं सार्वजनिक रूप से उपलब्ध कराए हैं, जानबूझकर या गलती से:
birgo.mynet.com/badoo/archive/2011/2
twitmail.com/email/146079226/29/3-people-on-Badoo-are-waiting-to-chat-with-you-

हम ऐसे उपयोगकर्ता कार्यों को नियंत्रित नहीं करते हैं और उन्हें रोक नहीं सकते हैं। हालाँकि, कुछ हफ़्ते पहले हमने लोकप्रिय खोज इंजनों द्वारा पाए गए प्राधिकरण लिंक को स्वचालित रूप से अमान्य करने के उपाय किए। इसीलिए, Google के SERPs में बड़ी संख्या में लिंक, केवल बहुत कम संख्या में सक्रिय रहते हैं। Google द्वारा कार्रवाई किए जाने से पहले उन्हें अनुक्रमित किया गया था। जैसा कि आप reindex करते हैं, ऐसे सभी लिंक निष्क्रिय कर दिए जाएंगे।
आपके आवेदन पर निर्णायक मंडल का यह निर्णय अंतिम है। "

ग्राहक सेवा

Google के साथ मेरे पत्राचार के चार महीने से अधिक समय बीत चुके हैं, Google पर आप अभी भी प्राधिकरण लिंक पा सकते हैं जो डिस्पोजेबल नहीं हैं।

एक और दिलचस्प क्वेरी: inurl: register.phtml साइट: badoo.com
यह क्वेरी फ़ॉर्म के लिंक ढूंढती है:
eu1.badoo.com/invite/register.phtml?u=243016784&i=72376&p=8&e=Anna%40yahoo.com&uin=ANY_EMAIL.COM&m=21&n=YWx1bW5pX2llZmV1aWlAeWFob29ncm91cHMuY29t&share_id=JiBZYnOGQk
यह साइट के लिए एक उपयोगकर्ता का निमंत्रण है। इस लिंक में, आप किसी भी ईमेल को उस साइट पर स्थानांतरित कर सकते हैं जो पहले यूआईएन पैरामीटर के रूप में साइट पर पंजीकृत नहीं है, और आपको पंजीकरण की पुष्टि करने की आवश्यकता नहीं है। केवल असुविधा यह है कि Google से लिंक पर क्लिक करने और ईमेल की जगह लेने के बाद, आपको अपना ब्राउज़र कुकी साफ़ करने की आवश्यकता है।

पंजीकरण उदाहरण uin = कोई% 20email , कोई सत्यापन जाँच नहीं:


मैंने इस लेख को लिखने का फैसला किया, क्योंकि बुश किसी और के खाते में एक भेद्यता के तहत प्राधिकरण की संभावना पर विचार नहीं करता है।
PS Google के साथ बगों की तलाश करें: inurl: phtml साइट: badoo.com

PPS inurl के अनुरोध पर टिप्पणियों में Badoo की प्रतिक्रिया के बाद : forgot_enter site: badoo.com, सक्रिय रूप से उपयोग किए जाने वाले खाते ( वीडियो प्रमाण , फ़ाइल को किसी भी ब्राउज़र में खोला जा सकता है) तक पहुंचना संभव था।