我根據負責任的揭露政策，在獲得fb密碼破解2025許可的情況下發布此資訊。他們已經修復了這個漏洞。
這篇文章是關於我在 Facebook 上發現的一個簡單漏洞，我可以利用它來輕鬆入侵其他用戶的 Facebook 帳戶，而無需任何用戶互動。
透過設定新密碼，我獲得了其他使用者帳戶的完全存取權限。我可以查看訊息、儲存在付款部分下的信用卡/金融卡資訊、個人照片以及其他私人資訊。
Facebook 迅速承認了這個問題，並修復了它，並根據這個漏洞的嚴重性和影響程度獎勵我 15,000 美元的賞金。
駭客攻擊是如何進行的
每當用戶忘記 Facebook 密碼時，他們都可以透過在https://www.facebook.com/login/identify?ctx=recover&lwv=110上輸入他們的電話號碼和電子郵件地址來重設密碼。
然後，Facebook 會向該電話號碼或電子郵件地址發送 6 位數的代碼，用戶必須輸入該代碼才能設定新密碼。
我嘗試強行破解www.facebook.com上的 6 位數代碼，但在 10-12 次無效嘗試後被阻止了。
然後我在 beta.facebook.com 和 mbasic.beta.facebook.com 上也發現了同樣的問題。有趣的是，忘記密碼的端點缺少速率限制。
我嘗試接管自己的帳戶（根據 Facebook 的政策，你不應該損害其他用戶的帳戶），fb密碼破解2025並成功為我的帳戶設定了新密碼。然後我可以用這個密碼登入我自己被駭的帳號。
黑客攻擊的概念驗證視頻
正如您在影片中看到的，我能夠透過強制破解發送到用戶電子郵件地址和電話號碼的代碼來為用戶設定新密碼。
易受攻擊的請求
POST /recover/as/code/ HTTP/1.1
Host: beta.facebook.com
lsd=AVoywo13&n=XXXXX
暴力破解「n」成功讓我能夠為任何fb密碼破解2025用戶設定新密碼。
披露時間表
2016 年 2 月 22 日：向 Facebook 團隊發送報告。
2016 年 2 月 23 日：從我的角度驗證了修復結果。
2016 年 3 月 2 日：Facebook 頒發 15,000 美元賞金
About the Author
