Halaman

Cara Hack Instagram Orang Lain

Nir Goldshlager Pengasas Cuti Keselamatan mencari kelemahan kritikal dalam Instagram. Hack berjaya membolehkan penyerang untuk mengakses foto peribadi dan keupayaan untuk memadam foto mangsa, suntingan dan pos gambar baru.

1. Rampasan akaun Instagram menggunakan Instagram OAuth

2. Rampasan akaun Instagram menggunakan Facebook OAuth Dialog

Beliau melaporkan beberapa isu untuk Instagram Termasuk Serangan OAuth, Tetapi pengambilalihan tidak ditutup lagi dan Facebook Keselamatan tidak dapat untuk meletakkan tangan mereka ke atas isu-isu keselamatan di Instagram, Jadi saya menunggu, Menunggu seperti WhiteCollar baik, Kemudian Facebook Security menghantar saya mesej, Mereka mengatakan bahawa walaupun mereka tidak dapat untuk menetapkan isu-isu ini kerana pembelian itu tidak ditutup lagi, Mereka akan masih pembayaran kelemahan ini,

Jadi, pertama, diperiksa protokol OAuth Instagram ini:

Walaupun penyelidikan parameter keselamatan Instagram ini, Nir perasan bahawa Facebook Security telah menghasilkan beberapa keputusan yang menarik berkenaan dengan kelemahan sendiri Instagram OAuth mereka. Mereka pada dasarnya menyekat akses kepada mana-mana dan semua fail, folder, dan subdomain oleh mengesahkan parameter redirect_uri.


Di samping itu, penghalaan semula hanya dibenarkan untuk pergi ke domain aplikasi pemilik.
Oleh itu, penggodam perlu mencari cara lain untuk mendapatkan masa lalu perlindungan mereka. Merumitkan lagi isu itu hakikat bahawa anda tidak boleh menggunakan redirection tapak / XSS pada app pemilik mangsa. Ini kerana anda tidak mempunyai akses kepada fail-fail atau folder pada domain aplikasi pemilik melalui parameter redirect_uri.


Sekat Fail Folder

Sebagai contoh:

Membenarkan permintaan:

https://apigee.com

Permintaan blok:

Redirect_uri = https: //www.test.com

Redirect_uri = https: //a.apigee.com/

Redirect_uri = https: //apigee.com/x/x.php

Redirect_uri = https: //apigee.com/%23 ,? atau apa-apa tanda khas

Seperti yang ada, nampaknya redirect_uri adalah kebal kepada serangan OAuth.

Walaupun penyelidikan, saya sampai kepada suatu pintasan licik. Jika penyerang menggunakan helah akhiran pada domain aplikasi pemilik, mereka boleh memintas Instagram OAuth dan kemudian menghantar kod access_token kepada domain mereka sendiri.

Sebagai contoh:

Katakan app Nir client_id di Instagram adalah 33221863xxx dan domain saya adalah breaksec.com

Dalam kes ini, parameter redirect_uri harus membenarkan penghalaan semula hanya untuk domain saya (breaksec.com), bukan? Apakah yang akan berlaku apabila kita mengubah akhiran dalam domain untuk sesuatu seperti:

Breaksec.com.mx

Dalam contoh ini, penyerang boleh menghantar access_token, kod lurus untuk breaksec.com.mx. Untuk serangan untuk berjaya, sudah tentu, penyerang perlu membeli domain yang baru (dalam kes ini, breaksec.com.mx).

POC Bypass (Tetap Dengan Facebook Security Team):

Permainan Tamat.

Bug 2.

Dengan bug ini, Nir digunakan nilai client_id Instagram melalui Facebook OAuth

Apabila anda menggunakan aplikasi Instagram, ia boleh disepadukan dengan Facebook.

Sebagai contoh:

Apabila pengguna ingin memuat naik foto Instagram mereka ke Facebook, mereka membolehkan interaksi dan integrasi ini berlaku.


Instagram ingin mengakses profil dan senarai rakan awam anda

Nir ditemui bahawa penyerang boleh menggunakan hampir mana-mana domain dalam redirect_uri itu, parameter yang akan datang. Ini adalah sebenarnya jenis mengherankan, dan saya tidak tahu mengapa ini berlaku, tetapi ia bekerja. Anda benar-benar boleh menggunakan mana-mana domain dalam redirect_uri, parameter yang akan datang melalui redirect_uri di Instagram client_id.

Ini secara langsung membolehkan penyerang untuk mencuri access_token mana-mana pengguna Instagram,

Dengan access_token penyerang yang akan dapat untuk menghantar bagi pihak mangsa itu dalam akaun Facebooknya, akses kepada senarai rakan peribadinya.

POC (Facebook Sudah tetap isu ini):

Site Meter