फेसबुक XSS स्टोरी

एक शाम, मैंने फेसबुक की सुरक्षा का पता लगाने का फैसला किया। पोर्टल पर थोड़ी दूर चलने के बाद, मेरी नज़र ने ग्राफ एपीआई एक्सप्लोरर को पकड़ लिया। यह फेसबुक ग्राफ एपीआई के साथ काम करने के लिए एक वेब एप्लिकेशन है, जो आपको फेसबुक से उपयोगकर्ता डेटा प्राप्त करने और फेसबुक पर अपलोड करने की अनुमति देता है। बेशक, कई ऑपरेशन केवल OAuth टोकन के साथ उपलब्ध हैं। यह ऐप वास्तव में क्या करता है?



जब उपयोगकर्ता डेटा प्राप्त करने या भेजने के लिए कोई भी अनुरोध करता है, तो एप्लिकेशन graph.facebook.com जोड़ते समय, graph.facebook.com एक JSONP अनुरोध भेजता है। यह पृष्ठ पर प्राप्त डेटा को आकर्षित करेगा। सबसे पहले, मैंने इस कॉलबैक को अपने स्वयं के कुछ ( इस पद्धति के बारे में अधिक ) के साथ बदलने की कोशिश की, लेकिन कोई फायदा नहीं हुआ, क्योंकि कॉलबैक पैरामीटर जिसे मैंने लागू किया था, बस त्याग दिया गया था। कॉलबैक को लागू करने के कई असफल प्रयासों के बाद, मुझे एक दिलचस्प पृष्ठ याद आया - "login.php" , जिसे मैंने फेसबुक पर शोध करते समय ठोकर खाई थी। यह पृष्ठ सभी डोमेन पर पाया गया था और किसी भी पृष्ठ पर किसी भी पृष्ठ पर रीडायरेक्ट करने की अनुमति दी गई थी। शुरुआत के लिए, मैंने उसी graph.facebook.com रीडायरेक्ट करने की कोशिश की, लेकिन मेरे कॉलबैक पैरामीटर के साथ।

developers.facebook.com/tools/explorer?method=GET&path=login.php?next%3dhttps%253a//graph.facebook.com/me%253fcallback%253dalert

मैंने टेक्स्ट [Object object] साथ एक क़ीमती खिड़की देखी, जिसने गवाही दी कि मेरा कॉलबैक पूरा हो गया था। लेकिन मैं, ज़ाहिर है, वहाँ नहीं रुक सकता। अब मैंने फेसबुक पर एक ऐसी जगह की तलाश शुरू कर दी, जहाँ मैं अपने जावास्क्रिप्ट कोड को सेव कर सकूं ताकि बाद में इसे निष्पादित कर सकूँ। मेरे लिए पहली बात यह थी कि सामग्री-प्रकार को पाठ / जावास्क्रिप्ट में बदलकर एक उपयोगकर्ता को एक संदेश फ़ाइल भेजना था। उसके बाद हमें एक लिंक मिलता है

www.facebook.com/ajax/messaging/attachment.php?attach_id=&mid=&hash=



attachment.fbsbx.com/messaging_attachment.php , . , , , GIF-, JavaScript- ( ). GIF- , . .

, ... . , Facebook "content-security-policy" , JavaScript, . , , Internet Explorer . "x-content-security-policy" . IE10 :



! . Facebook, , , .



:



: , Positive Research. www.facebook.com/ajax/messaging/attachment.php?attach_id=&mid=&hash=



attachment.fbsbx.com/messaging_attachment.php , . , , , GIF-, JavaScript- ( ). GIF- , . .

, ... . , Facebook "content-security-policy" , JavaScript, . , , Internet Explorer . "x-content-security-policy" . IE10 :



! . Facebook, , , .



:



: , Positive Research.