 Autor
|
Tema: FQL Injection (?) (Leído 50,351 veces)
|
Tryptophan
 Desconectado
Mensajes: 52
|
Esto es solo algo de lo que se puede hacer con FQL, lo demas, es creatividad de ustedes  Bien, en primer instancia, que es FQL?. FQL es el facebook query language, un lenguaje de consulta proporcionado por dicha empresa para el desarrollo de aplicativos y otras yerbas  http://wiki.developers.facebook.com/index.php/FQL. Vayamos al grano directamente.... Me encontraba boludeando en la parte de las tablas de FQL, exactamente en la de ALBUM y note que 2 atributos de la tabla eran LOCATION y LINK (la locacion del album) y haciendo la siguiente consulta en http://developers.facebook.com/tools.php. SELECT location, link FROM album WHERE owner=xxxxxxxxxx Siendo el owner un user id de CUALQUIER USUARIO, me encontre con el aid (album id) q se usa para la visualizacion de albumes . Asi se lo visualiza: http://www.facebook.com/profile.php?id=MIID&v=photos&viewas=MIID#/album.php?aid=yyyyyyy&id=MIIDAhora, q pasa si yo pusiera el id de CUALQUIER USUARIO, sabiendo q puedo obtener su aid con una consulta FQL?. Exactamente, podria ver su album sin siquiera ser su amigo... Pongamos un ejemplo: Me gustaria ver el album de pepito, q hago entonces?. En primer lugar lo busco, saco su id (en el link de "ver amigos" aparece...), hago la consulta FQL para sacar su aid. Despues pongo en la URL http://www.facebook.com/profile.php?id=IDPEPITO&v=photos&viewas=MIID#/album.php?aid=yyyyyyy&id=IDPEPITOY voila... Cualquier critica, correcion, etc, ya saben donde encontrarme. Saludos Tryptophan |
|
|
|
|
En línea
|
|
|
|
sirdarckcat
Aspirante a supervillano
Moderador
Desconectado
Mensajes: 7.029
No estoy loco, soy mentalmente divergente
|
Tienes razon!! SELECT src FROM photo WHERE aid IN (SELECT aid FROM album WHERE owner IN (SELECT uid FROM USER WHERE name="Eduardo Vela"))
Muy buen descubrimiento! Aunque no seria "injection", mas bien es que como que se les olvido que la relacion aid<->uid no deberia ser indexable.. En cualquier caso, muy buen descubrimiento, hacer un "PoC" deberia ser relativamente sencillo.. ya que Facebook da la API para hacerlo, hacer un buscador de personas que te muestre sus fotos estaria cool! Si quieres reportar la vulnerabilidad (que de todas formas ya la hiciste publica), manda un mail a secure@facebook.com.. En cualquier caso, buen descubrimiento! si necesitas ayuda dinos. Saludos!! |
|
|
|
« Última modificación: 13 Marzo 2009, 08:43 am por sirdarckcat »
|
En línea
|
|
|
|
Tryptophan
Desconectado
Mensajes: 52
|
claro....pasa q a las 3 de la mañana no me daba el cerebro para ver q nombre ponerle, jajaja . Saludos sirdarkcat!! |
|
|
|
|
En línea
|
|
|
|
AlbertoBSD
Programador y
Moderador Global
Desconectado
Mensajes: 3.705
🏴 Libertad!!!!!
|
Esta muy interesante, ya lo probe y esta bien pero el problema que ocupas el nombre o el uid, voy a empezar a espiar a los amigos de mis amigos.
Saludos.
|
|
|
|
|
En línea
|
|
|
|
Novlucker
Ninja y
Colaborador
Desconectado
Mensajes: 10.683
Yo que tu lo pienso dos veces
|
Interesante, no tenía idea de la existencia de FQL, ojalá se demoren en solucionarlo porque necesito ver unas fotos de alguien que no me ha aceptado   Edito: En efecto, puedo ver las fotos de todos  Saludos |
|
|
|
« Última modificación: 14 Marzo 2009, 02:45 am por Novlucker »
|
En línea
|
Contribuye con la limpieza del foro, reporta los "casos perdidos" a un MOD XD
"Hay dos cosas infinitas: el Universo y la estupidez humana. Y de la primera no estoy muy seguro." Albert Einstein |
|
|
|
Dacan
|
Lo probe si funciona.. me pondre a leer sobre eso de FQL esta interezante. Saludos, Dacan  |
|
|
|
|
En línea
|
|
|
|
|
toxeek
|
Que tal.
Parece que ya esta corregido.
Saludos.
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
Novlucker
Ninja y
Colaborador
Desconectado
Mensajes: 10.683
Yo que tu lo pienso dos veces
|
No, si funciona, lo acabo de probar Saludos |
|
|
|
|
En línea
|
Contribuye con la limpieza del foro, reporta los "casos perdidos" a un MOD XD
"Hay dos cosas infinitas: el Universo y la estupidez humana. Y de la primera no estoy muy seguro." Albert Einstein |
|
|
Littlehorse
All the world's a stage
Colaborador
Desconectado
Mensajes: 2.714
Nie Dam Sie
|
A mi tampoco me funciona. que raro  a ver de nuevo. |
|
|
|
|
En línea
|
An expert is a man who has made all the mistakes which can be made, in a very narrow field.
|
|
|
|
toxeek
|
Que tal. Haciendolo todo ( creo que correctamente! ), es esto lo que recibo:  Bueno, Saludos.
|
|
|
|
|
En línea
|
"La envidia es una declaración de inferioridad"
Napoleón.
|
|
|
|
 |
