搜索

[16290] 2021-01-07_FacebookMessenger向第三方应用泄露用户访问令牌

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-07_FacebookMessenger向第三方应用泄露用户访问令牌 F a c e b o o k   M e s s e n g e r 向 第 三 方 应 用 泄 露 用 户 访 问 令 牌 c l o u d s   F r e e B u f   2 0 2 1 - 0 1 - 0 7 该 篇 W r i t e u p 讲 述 作 者 在 测 试 F a c e b o o k   M e s s e n g e r   i O S   A p p 的 过 程 中 ， 发 现 M e s s e n g e r   i O S   A p p 在 调 用 动 图 消 息 图 标 的 过 程 中 ， 会 把 用 户 的 访 问 令 牌 （ a c c e s s   t o k e n ） 泄 露 给 第 三 方 动 图 搜 索 引 擎 。 以 下 是 作 者 的 发 现 过 程 。 漏 洞 发 现 漏 洞 发 现 某 天 ， 我 在 测 试 一 个 i O S   A p p ， 但 几 个 小 时 过 去 了 却 一 无 所 获 。 之 后 ， 我 想 转 移 下 注 意 力 ， 打 算 干 点 其 它 的 。 刚 好 我 大 学 同 学 通 过 M e s s e n g e r 发 来 了 一 条 消 息 ， 我 打 开 M e s s e n g e r 应 用 A P P 想 找 个 G I F 动 图 表 情 回 复 他 。 此 时 我 电 脑 里 的 B u r p 正 在 抓 包 ， 而 其 中 产 生 了 很 多 T e n o r   G I F 动 图 的 请 求 包 ， 我 马 上 深 入 对 其 中 的 请 求 响 应 进 行 了 检 查 ， 之 后 ， 我 发 现 了 很 多 “ a c c e s s _ t o k e n ” 被 泄 露 到 了 T e n o r   G I F 动 图 请 求 包 中 。
也 就 是 说 ， F a c e b o o k   M e s s e n g e r   i O S   A p p 用 户 在 发 送 一 些 G I F 动 图 的 过 程 中 ， F a c e b o o k   M e s s e n g e r   i O S   A p p 会 把 用 户 的 “ a c c e s s _ t o k e n ” 泄 露 给 T e n o r   G I F 的 动 图 请 求 ， 即 把 用 户 的 M e s s e n g e r   i O S   A p p “ a c c e s s _ t o k e n ” 发 起 送 到 了 T e n o r 服 务 端 去 。 此 时 ， 我 非 常 高 兴 ， 总 算 有 点 可 报 的 了 。 A c c e s s   T o k e n A c c e s s   T o k e n ， 访 问 令 牌 ， 是 某 种 请 求 或 登 录 机 制 的 凭 证 ， 用 于 代 表 用 户 在 短 时 间 内 执 行 某 种 身 份 认 证 或 权 限 操 作 的 验 证 性 信 息 。 在 登 录 机 制 中 ， 可 以 用 A c c e s s   T o k e n 来 无 密 码 登 录 相 应 的 用 户 账 户 。 之 后 ， 我 立 刻 向 F a c e b o o k 安 全 团 队 进 行 了 上 报 。 F a c e b o o k 比 较 重 视 ， 马 上 在 产 品 线 中 进 行 了 调 查 ， 并 在 5 小 时 之 内 就 发 布 了 一 个 临 时 补 丁 进 行 暂 时 修 补 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 9 . 2 6   漏 洞 上 报 2 0 2 0 . 9 . 2 8   F a c e b o o k 调 查 2 0 2 0 . 9 . 2 8   F a c e b o o k 发 布 临 时 补 丁 2 0 2 0 . 1 0 . 6   F a c e b o o k 完 全 修 复 2 0 2 0 . 1 1 . 1 0   F a c e b o o k 向 我 奖 励 了 1 5 k $ 后 续 后 续 F a c e b o o k 调 查 确 定 该 漏 洞 未 被 攻 击 者 利 用 ， 之 后 ， 并 把 此 前 泄 露 到 T e n o r 请 求 中 的 a c c e s s   t o k e n 定 为 失 效 。 以 下 是 F a c e b o o k 对 该 漏 洞 给 我 的 回 复 ：
参 考 来 源 ： m e d i u m ， 编 译 整 理 ： c l o u d s 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理