j’aimerai savoir, ya til un moyen de voir le mur et les photos des personnes avec qui nous ne sommes pas amis?

et comment obtenir le mot de passe d’une personne qui est dans un autre pays?(donc je n’ai pas acces a son pc!)
merci de vos reponses !

Du moins, j’imagine ça ainsi car cette faille n’est toujours pas corrigée

connaissant l’éventail de types données pouvant être envoyées à des applications => Les applications peuvent comme n’importe quelle application web avoir la possibilité de recevoir non pas que des requêtes full texte mais aussi des fichiers. A partir de là, on peut réfléchir à beaucoup de vecteurs d’attaques. (Si tu veux, on en parle en privé.)

Voilà, on peut passer des données qui sont contenues dans des fichiers et après, l’application les traite, dans ce cas là, les WAF traditionnels ne servent strictement à rien car ils analysent les données envoyées. De plus, les WAF mal paramétrés peuvent êtres bypassables.

Une récente étude à d’ailleurs démontrée que dans le top 10 des applications les plus utilisés sur Facebook, 6 étaient vulnérables et on juge à quelques 9700 applications vuln en ce moment. Voir là :

http://www.mxlogic.com/securitynews/identity-theft/facebook-application-security-hole-exposes-millions-to-hacking-researcher-says160.cfm

Il est impossible à Facebook de protéger ses membres si une partie du SI qui la compose (les applications) sont transférées sur des serveurs dont elle ne possède pas la main (souvent d’ailleurs, les applications sont sur des mutualisés, ce qui complique encore plus la chose) Il est alors facile pour n’importe quel pirate ayant tant soit peu d’expérience de pénétrer le serveur des de changer la configuration de l’application visée. (sans oublier de voler quelques données aux membres au passage.)

Explique : connaissant l’éventail de types données pouvant être envoyées à des applications.

Deuxième point, FaceBook a aujourd’hui plus de 250 millions d’utilisateurs, et des dizaines de milliers d’applications (dont certaines oubliées et vulnérables), il ne peut pas y avoir assez d’employés pour s’occuper simplement de la sécurité des applications c’est donc pour cela qu’il y a un temps d’attente considérable entre le moment où FaceBook est contacté et le moment ou la vulnz est patchée (sans compter la dispo du dev’ de l’application).

N’oublions pas que certaines personnes réalisent des application sous-couvert d’anonymat donc il est impossible de joindre les auteurs de ses dernières, elles sont donc (je pense) désactivées.

Certes, FaceBook pourrait mettre en place pour ces applications un système de WAF. Cependant, il sera difficile de réaliser un WAF connaissant l’éventail de types données pouvant être envoyées à des applications. La mise en place de solution de la sorte pourrait aboutir à de nombreux risques de faux-positifs (et je ne parle pas des données qui sont envoyées directement à l’application, sans êtres filtrées par les serveurs de la firme).

Il faudrait par ailleurs dans l’article faire un lien vers le PoC original http://www.packetstormsecurity.org/0910-exploits/facebook-redir.txt posté par un certain « 599eme Man » le 23 octobre dernier.

De plus en disant mordu du phishing… je voulais surtout dire savoir comment sa marche est non pas l’utilisation vilaine

FaceBook met tout en œuvre pour la sécurité de ses utilisateurs. Cependant, au nombre d’applications mises en ligne chaque jour, il leur est impossible de toutes les vérifier. Seules des chartes de bonnes conduites peuvent êtres mises à disposition des dev’s. (Il doit surement en exister, j’ai pas fait le tour…

Après, qui râlera le premier si ils doivent les vérifier une par une ? Les devs ou les utilisateurs ?

Le plus vulnérable dans les services web ce ne sont pas les services eux-mêmes mais les applications tierces se servant de leur API. Comme dirait un certain stratège, pourquoi attaquer les villes alors que les fermes servent à approvisionner l’ennemi ? (dans le cadre d’une guerre d’usure)

C’est exactement le même principe avec les API, ce sont des gruyères et le juste milieux est difficile à trouver entre interaction réelle entre les comptes utilisateurs et la sécurité de ces derniers.

Ça me fait marrer les gens qui mouillent pour une simple redirection. Alors qu’il y a bien plus grave en possibilités de nuisances utilisant l’API de FaceBook.

Vous vous rappelez que si vous construisez une API, vous pouvez savoir ce que le compte a acheté sur Amazon, les contacts de ses amis, ses centres d’intérêts, etc…. comment ça, vous saviez pas ?

Je vais proposer mes services de « hacking de compte fb d’ex pas cool » contre du sexe.