Accueil » Actualités » « Comment j’aurais pu pirater tous les comptes Facebook »

Petit article actu aujourd’hui pour parler d’un cas rare, mais visiblement encore possible, de faille dans Facebook permettant de pirater n’importe quel utilisateur du célèbre réseau social.

Et sans aucune action de la part de l’utilisateur ciblé…

C’est , un blogueur Indien qui a découvert la faille il y a deux semaines et l’a signalée à Facebook. Après vérification, Facebook lui a offert 15 000 dollars en guise de récompense.

Description de la vulnérabilité

Anand explique sur son blog que la faille se situe au niveau de la page permettant de réinitialiser un mot de passe oublié :

https://www.facebook.com/login/identify?ctx=recover&lwv=110

Facebook envoie dès lors un code à 6 chiffres sur un numéro de téléphone ou une adresse e-mail associée au compte pour lequel on souhaite récupérer le mot de passe.

Après avoir essayé 10 à 12 fois de deviner le bon code en essayant des séries de chiffres différentes (attaque par force brute), Facebook a bloqué ses tentatives.

Le problème, c’est que la même page de réinitialisation à l’adresse beta.facebook.com et non pas facebook.com ne limitait pas les tentatives.

 

Explication technique

La requête vulnérable était la suivante :

POST /recover/as/code/ HTTP/1.1 Host: beta.facebook.com
lsd=AVoywo13&n=XXXXX
La paramètre « n » contenait le code à 6 chiffres (ici remplacé par des « X ») que l’on pouvait tester indéfiniment.

Démonstration de la vulnérabilité

Voici la vidéo de démonstration créée par l’auteur de la découverte :

ÉDIT : vidéo visiblement signalée et supprimée.

On voit Anand intercepter la requête sensible puis la relancer automatiquement, en incrémentant les numéros à chaque nouvelle requête.

Le bon code est trouvé en quelques minutes, il lui suffit de redéfinir le mot de passe du compte concerné (de son propre compte ici).

Anand a bien sûr utilisé son propre compte pour la démonstration, et a décidé de signaler la vulnérabilité plutôt que de se mettre à pirater tout le monde.

C’est ça le hacking éthique.

Il va également rejoindre les centaines d’autres hackers ayant contribué à la sécurité sur Facebook :

https://www.facebook.com/whitehat/thanks/

Et vous, pensez-vous que 15 000 dollars de récompense soit convenable pour ce type de vulnérabilité signalée ?

10 Commentaires

  1. Pour une entreprise pareil, Facebook aura du payer l’indien plus que la somme citée. A mon avis la somme convenable est de 30 000 Dollars

  2. coco ser vice a écrit:

    5FeHQC Lovely website! I am loving it!! Will come back again. I am bookmarking your feeds also

  3. Une faille de sécurité aussi « bête » dévoilée sur la toile dans l’ombre de facebook = des tonnes de SK qui laisseraient tourner leurs ordinateur(s) pour exploiter celle-ci. Piqué initialement par un ou deux, puis par une centaine, des milliers, des millions, soit des tas de plaintes reprochant la sécurité informatique de Facebook. Sans oublier que viendrait le tour des développeurs/codeurs mal intentionnés qui automatiseraient la procédure avec des combos mail:pass.

    Les 15,000€ ne sont selon moi pas suffisant pour le rapport d’une faille aussi bête à Facebook, surtout vu l’argent qu’ils gagnent chaque jours.

  4. bjr jai un soucis.pouvez vous m’aider a tracé un apèl qui vien du meme pays que moi et qui presente les caractères d’un appel en international

  5. Je pense que 15 000 € n’est pas à la hauteur de ce service. Si l’on compte l’argent que Facebook aurai perdu avec cette faille, c’est totalement disproportionné.

  6. Bonjour Michel

    Voilà je voudrai savoir comment faire pour que toutes les information passant par internet sur le réseaux passe d’abord sur mon ordinateur ( j’ai vue quelqu’un le faire sur une vidéo ).
    Et est ce que tu pourras stp me dire ton parcours scolaire pour arrivée avec ses connaissance là

  7. salut MR Michel , j’ai besoin de votre aide si tu veux bien sur …. alors j’aimerais bien se parler en pv si c possible

  8. Bonjour Mr j ai besoin de vous inbox

  9. nana soumise a écrit:

    SVP j’ai besoin d’aide une personne pirate tout mes compte et pourtant je n’ai pas les mêmes mots de passe et je suis prudente.

Laisser un commentaire

Lire plus :
Mais alors pourquoi sommes-nous toujours piratés ?

Un peu de réflexion dans l'article d'aujourd'hui car nous allons parler de connaissances. Cet article visera tout particulièrement les débutants...

Fermer