Восстановление пароля к facebook или как угнать все аккаунты

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.

Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.

⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

08.03.2016, 01:13

ZodiaX

Новичок

Регистрация: 07.05.2009

Сообщений: 14

Провел на форуме:
44902

Репутация: 0

Discription:

Когда пользователь, забыв пароль от facebook'a, решает его восстановить, он может воспользоваться функцией сброса пароля, указав в форме номер телефона или email,

Код:

Code:
https://www.facebook.com/login/identify?ctx=recover&lwv=110

facebook в ответ пришлет 6-ти значный числовой код, который пользователь должен будет ввести для того чтобы установить новый пароль.

При попытке брута 6-ти значного кода на домене www.facebook.com происходит блокировка после 10-12 неудачных попыток.

При проверке на доменах beta.facebook.com и mbasik.beta.facebook.com такое ограничение отсутствует...

Video POC:

Как видно из видео, можно установить новый пароль, перебирая код который был отправлен на телефон или почту.

Уязвимый запрос:

Код:

Code:
POST /recover/as/code/ HTTP/1.1
Host: beta.facebook.com

lsd=AVoywo13&n=XXXXX

http://www.anandpraka.sh/2016/03/how...ebook.html?m=1