搜索

[14145] 2019-05-24_挖洞经验获取卖家精确地理位置信息漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-05-24_挖洞经验获取卖家精确地理位置信息漏洞 挖 洞 经 验   |   获 取 卖 家 精 确 地 理 位 置 信 息 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 5 - 2 4 本 文 分 享 的 本 文 分 享 的 w r i t e u p 是 与 是 与 F a c e b o o k   M a r k e t p l a c e 销 售 系 统 相 关 的 用 户 信 息 泄 露 漏 洞 ， 通 过 该 漏 洞 可 以 获 取 到 发 布 商 品 卖 家 的 销 售 系 统 相 关 的 用 户 信 息 泄 露 漏 洞 ， 通 过 该 漏 洞 可 以 获 取 到 发 布 商 品 卖 家 的 精 确 到 经 纬 度 和 邮 编 等 具 体 地 理 位 置 信 息 。 漏 洞 上 报 一 波 三 折 ， 经 历 拒 绝 后 再 次 被 精 确 到 经 纬 度 和 邮 编 等 具 体 地 理 位 置 信 息 。 漏 洞 上 报 一 波 三 折 ， 经 历 拒 绝 后 再 次 被 F a c e b o o k 接 收 ， 最 终 接 收 ， 最 终 F a c e b o o k 给 予 的 奖 励 为 给 予 的 奖 励 为 $ 5 , 0 0 0 美 金 。 以 下 是 作 者 的 漏 洞 发 现 分 享 。 美 金 。 以 下 是 作 者 的 漏 洞 发 现 分 享 。 F a c e b o o k   M a r k e t p l a c e 简 介 简 介 F a c e b o o k   M a r k e t p l a c e 是 F a c e b o o k 于 2 0 1 6 年 1 0 月 在 移 动 端 推 出 的 一 个 P 2 P （ 个 人 对 个 人 ） 的 商 品 拍 卖 和 交 易 功 能 ， 允 许 用 户 在 其 上 购 买 和 销 售 物 品 。 点 击 F a c e b o o k 底 部 的 M a r k e t p l a c e 按 钮 进 入 ， 在 界 面 中 用 户 可 以 像 网 络 商 城 那 样 直 接 以 商 品 名 字 、 种 类 和 售 价 等 分 类 来 搜 索 某 商 品 ， F a c e b o o k 会 自 动 为 用 户 显 示 最 靠 近 用 户 身 边 的 F a c e b o o k 卖 家 ， 并 显 示 该 卖 家 的 报 价 和 商 品 信 息 。 在 找 到 心 仪 商 品 之 后 ， 用 户 便 可 以 直 接 用 M e s s e n g e r 来 与 该 卖 家 联 络 。 而 如 果 你 是 卖 家 ， 你 也 可 以 直 接 在 M a r k e t p l a c e 中 添 加 商 品 、 报 价 、 地 点 等 相 关 消 息 。 与 一 般 拍 卖 网 站 不 同 的 是 ， 其 内 置 的 地 点 工 具 可 以 调 整 中 你 正 在 查 看 的 地 区 ， 或 变 更 为 其 它 城 市 。 目 前 ， F a c e b o o k   M a r k e t p l a c e 服 务 仅 在 某 些 国 家 开 放 。 发 现 漏 洞 的 原 因 发 现 漏 洞 的 原 因 F a c e b o o k   M a r k e t p l a c e 上 线 后 ， 有 些 卖 家 会 在 上 面 销 售 一 些 被 盗 商 品 ， 所 以 我 有 时 会 协 助 调 查 F a c e b o o k   M a r k e t p l a c e 中 的 一 些 被 盗 商 品 ， 在 分 析 其 相 关 的 可 追 回 技 术 可 行 性 过 程 中 ， 我 发 现 了 其 中 存 在 的 一 个 漏 洞 ， 利 用 该 漏 洞 可 以 发 现 卖 家 的 一 些 敏 感 数 据 ， 获 取 其 包 含 经 纬 度 的 精 确 地 理 位 置 。 以 我 要 卖 掉 的 下 图 这 辆 7 0 0 0 欧 的 山 地 自 行 车 拍 卖 销 售 页 面 分 析 入 手 ， 经 测 试 ， 我 发 现 F a c e b o o k   M a r k e t p l a c e 中 与 地 理 位 置 相 关 的 数 据 信 息 相 对 具 体 ， 它 包 含 在 销 售 商 品 返 回 的 广 告 中 ， 其 相 关 的 响 应 消 息 为 J S O N 格 式 内 容 ， 而 这 种 卖 家 商 品 的 地 理 位 置 又 可 以 通 过 F a c e b o o k   M a r k e t p l a c e 进 行 设 定 。
为 此 ， 我 觉 得 有 些 疑 惑 ， 为 什 么 F a c e b o o k   M a r k e t p l a c e 呈 现 在 用 户 页 面 上 的 商 品 地 理 位 置 又 非 常 简 单 呢 ？ 这 看 来 值 得 深 究 一 番 。 深 入 分 析 深 入 分 析 于 是 ， 我 又 登 录 进 入 F a c e b o o k   M a r k e t p l a c e 应 用 ， 把 这 辆 7 0 0 0 欧 的 山 地 自 行 车 ， 用 其 中 的 地 图 位 置 选 择 工 具 设 置 了 一 个 随 机 地 址 ， 看 看 有 什 么 反 应 ： 哦 ， 看 到 没 ， 在 右 下 角 之 处 ， 有 一 行 小 而 灰 色 的 字 ， F a c e b o o k   M a r k e t p l a c e 声 称 为 了 保 护 卖 家 隐 私 ， 位 置 信 息 仅 只 是 大 概 位 置 （ “ L o c a t i o n   i s   a p p r o x i m a t e   t o   p r o t e c t   t h e   s e l l e r ’ s   p r i v a c y ” ） ， 哟 ， 还 不 错 。 好 吧 ， 退 出 F a c e b o o k   M a r k e t p l a c e 看 看 这 次 请 求 包 中 的 位 置 数 据 是 什 么 ， 注 意 此 时 我 是 一 个 未 授 权 的 普 通 用 户 。 在 销 售 页 面 中 ， 我 开 启 了 C h r o m e 的 浏 览 器 网 络 监 控 功 能 ， 当 我 点 击 了 这 辆 山 地 车 的 相 关 信 息 之 后 ， 可 以 在 网 络 数 据 包 中 看 到 很 多 关 于 该 商 品 的 位 置 信 息 ， 查 看 后 ， 我 发 现 是 F a c e b o o k 的 A P I   -   f a c e b o o k . c o m / a p i / g r a p h q l   在 响 应 时 泄 露 了 一 些 地 理 位 置 信 息 ， 如 下 ：
其 中 竟 然 包 含 了 商 品 发 布 的 精 确 地 理 位 置 信 息 ， 有 经 纬 度 数 据 、 城 市 、 国 家 、 邮 编 ， 如 下 ： 由 于 卖 家 很 少 会 去 刻 意 伪 造 销 售 商 品 的 实 际 地 理 位 置 ， 而 这 种 精 确 到 米 的 地 理 位 置 和 城 市 及 邮 编 信 息 泄 露 ， 再 结 合 交 易 过 程 涉 及 的 卖 家 真 实 姓 名 ， 恶 意 攻 击 者 或 其 它 别 有 用 心 者 可 以 利 用 它 来 准 确 确 定 卖 家 的 具 体 住 址 。 这 算 是 安 全 漏 洞 或 问 题 吗 ？ 这 算 是 安 全 漏 洞 或 问 题 吗 ？ 由 于 卖 家 必 须 在 商 品 发 布 过 程 中 标 明 确 切 的 个 人 位 置 信 息 ， 而 F a c e b o o k   M a r k e t p l a c e 又 声 称 会 保 护 用 户 隐 私 ， 会 做 地 理 位 置 模 糊 化 显 示 给 浏 览 者 。 就 像 我 设 置 山 地 车 的 销 售 位 置 时 ， 拖 动 地 图 选 择 的 圆 圈 后 ， F a c e b o o k   M a r k e t p l a c e 表 明 只 会 显 示 大 概 位 置 ， 当 然 ， 很 少 有 卖 家 会 刻 意 伪 造 这 种 地 理 位 置 信 息 。 ` ` ` " l o c a t i o n " :   { " l a t i t u d e " :   5 4 . 9 9 4 2 2 3 5 , " l o n g i t u d e " :   - 1 . 6 0 4 1 2 4 4 , " r e v e r s e _ g e o c o d e " :   { " c i t y " :   " N e w c a s t l e   u p o n   T y n e " , " s t a t e " :   " E n g l a n d " , " p o s t a l _ c o d e " :   " " } , " r e v e r s e _ g e o c o d e _ d e t a i l e d " :   { " c i t y " :   " N e w c a s t l e   u p o n   T y n e " , " s t a t e " :   " E n g l a n d " , " p o s t a l _ c o d e " :   " N E 2   2 D S " } } ` ` ` 经 纬 度 ！ ？ 哦 ， 足 够 了 ！ 打 开 谷 歌 地 图 ， 输 入 其 中 的 经 纬 度 信 息 进 行 查 找 ， 当 然 ， 就 发 现 了 我 在 商 品 后 台 设 置 的 具 体 地 理 位 置 了 ！
另 外 ， 当 我 想 用 F a c e b o o k   M a r k e t p l a c e 提 交 一 些 具 体 精 确 的 地 理 位 置 时 ， F a c e b o o k 提 供 的 位 置 或 地 址 选 择 项 中 根 本 没 有 一 些 更 准 确 或 更 近 的 位 置 可 以 选 择 ， 就 算 输 入 完 整 邮 编 或 地 址 都 不 行 。 所 以 ， 这 种 就 互 相 矛 盾 了 ， 那 么 ， 这 就 算 是 一 种 安 全 问 题 了 。 这 难 道 是 这 难 道 是 F a c e b o o k 的 预 期 行 为 ？ 的 预 期 行 为 ？ 我 本 以 为 F a c e b o o k 会 从 地 图 选 择 圆 圈 中 随 机 分 配 到 其 中 的 一 个 位 置 ， 或 者 像 某 些 W e b 应 用 一 样 会 捕 捉 到 最 近 的 大 概 位 置 。 我 也 期 望 F a c e b o o k 只 显 示 邮 编 的 前 三 四 个 数 字 。 但 事 实 ， 当 F a c e b o o k 采 取 措 施 防 止 这 些 信 息 泄 露 时 ， 以 上 模 糊 化 的 大 概 位 置 显 示 貌 似 是 他 们 采 取 的 方 法 。 但 是 ， 现 在 当 我 试 图 在 F a c e b o o k   M a r k e t p l a c e 添 加 一 个 销 售 商 品 时 ， F a c e b o o k 甚 至 会 去 抓 拍 与 其 位 置 相 关 的 当 地 一 个 公 园 图 片 ， 完 全 说 不 通 。 漏 洞 上 报 漏 洞 上 报 这 无 疑 是 一 个 安 全 漏 洞 了 ， 我 及 时 上 报 给 了 F a c e b o o k ， 并 高 亮 显 示 了 其 中 的 邮 编 ， 但 是 却 被 F a c e b o o k 拒 绝 了 ， 他 们 认 为 这 不 是 一 个 安 全 漏 洞 。 不 服 气 的 我 又 继 续 分 析 了 其 中 的 相 关 参 数 ， 并 再 次 更 新 上 报 ， W T F ， 又 被 拒 。 好 在 我 认 识 一 个 在 F a c e b o o k 工 作 的 朋 友 ， 和 他 聊 了 聊 ， 他 把 漏 洞 转 给 了 某 位 内 部 人 士 进 行 了 深 入 了 解 ， 最 终 ， 我 的 漏 洞 被 接 收 了 ， 一 周 后 F a c e b o o k 修 复 了 漏 洞 并 奖 励 了 我 $ 5 , 0 0 0 美 金 。 * 参 考 来 源 ： 参 考 来 源 ： 7 e l e m e n t s ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理