El investigador indio Laxman Muthiyah descubrió hace unos días una grave vulnerabilidad en la API Graph de Facebook que permitia borrar cualquier foto o el álbum entero de otro usuario de Facebook. Por descubrir y reportar tal fallo ha sido recompensado con 12,500$ gracias al programa de recompensas de Seguridad de Facebook llamado "Facebook Bug Bounty"




La vulnerabilidad permitía "a cualquiera persona eliminar cualquier álbum de fotos en Facebook. Cualquier álbum de fotos propiedad de un usuario o una página o un grupo podría ser borrado."

Por descubrir y reportar tal fallo ha sido recompensado con 12,500$ USD gracias al programa de Seguridad de Facebook llamado "Facebook Bug Bounty"

Facebook Bug Bounty

BORRADO DE ALBUM DE FOTOS DE FACEBOOK

Según Facebook documentación desarrolladores, no es posible eliminar álbumes utilizando el API de gráficos, pero el investigador de seguridad de la India ha encontrado una manera de eliminar no sólo la suya, pero también otros de Facebook álbumes de fotos dentro de unos segundos.

Con el fin de eliminar un álbum de fotos de la cuenta de Facebook de la víctima, el atacante sólo tiene que enviar una solicitud de Graph API basada en HTTP con la víctima álbum de fotos ID y propio token de acceso del atacante generado para la app de 'Facebook para android'


La Graph API de Facebook es el modo principal para los desarrolladores para leer y escribir los datos de los usuarios. Todas las aplicaciones de Facebook de ahora están utilizando Graph API. En Graph API en general requiere un token de acceso para leer o escribir datos de los usuarios.

Según la documentación desarrolladores de Facebook, álbumes de fotos no se pueden eliminar mediante el nodo álbum en Graph API.

El investigador trató de eliminar uno de mis álbumes de fotos utilizando el token de acceso gráfico explorador.

Request :-

DELETE /518171421550249 HTTP/1.1

Host :  graph.facebook.com 

Content-Length: 245

access_token=CAACEdEose0cBAABAXPPuULhNCsYZA2cgSbajNEV99ZCHXoNPvp6LqgHmTNYvuNt3e5DD4wZA1eAMflPMCAGKVlaDbJQXPZAWqd3vkaAy9VvQnxyECVD0DYOpWm3we0X3lp6ZB0hlaSDSkbcilmKYLAzQ6ql1ChyViTiSH1ZBvrjZAH3RQoova87KKsGJT3adTVZBaDSIZAYxRzCNtAC0SZCMzKAyCfXXy4RMUZD

Response :-

{"error":{"message":"(#200) Application does not have the capability to make this API call.","type":"OAuthException","code":200}}

¿Por qué? Debido a que esta aplicación no tiene la capacidad de eliminar el álbum de fotos. Pero tenemos que tener en cuenta el mensaje de error. Nos dice que alguna otra aplicación tiene la capacidad para hacer esta llamada a la API: P

Decidió a probarlo con Facebook para token de acceso móvil, ya podemos ver la opción para todos los álbumes de fotos en eliminar la aplicación móvil de Facebook Sí, y también utiliza la misma API de gráficos. así que cogimos un ID y Facebook álbum token de acceso android  mío y lo probamos:


El Album (518171421550249) ha sido borrado

Así que ¿cuál es el siguiente paso? Tomó el  Identificación (ID) la víctima del álbum y trató de eliminarlo. Tenía mucha curiosidad por ver el resultado.

Response :-

true

¡Y el álbum se borró! Así que me dieron la clave para eliminar todas sus fotos de Facebook: P lol: D
Inmediatamente informó de este error a equipo de seguridad de Facebook. Eran demasiado rápido en la identificación de este problema y no había una solución en el lugar en menos de 2 horas a partir del reconocimiento del informe.

Final Proof Of Concept :-

Fuente:
http://www.7xter.com/2015/02/how-i-hacked-your-facebook-photos.html

Vídeo demostración - PoC