“hoe te hacken Facebook?”is een van de meest gezochte vragen op het Internet. Velen van ons slecht willen hacken in iemands Facebook-account, maar natuurlijk is dat niet een gemakkelijke baan, althans voor een beginner.
er zijn tal van websites op het Internet waar u een verscheidenheid aan tools en methoden op het hacken van Facebook kunt vinden, maar de meeste van hen zijn nep en de rest van hen hebben technische expertise nodig. Let op voor hacking tools, de meeste van de tools daadwerkelijk hack uw Facebook-account in plaats van de doelgebruiker.
als iemand in staat is om Facebook-account te hacken, betekent dit dat ze een beveiligingslek voor accountovername hebben die FB beïnvloedt. Ze kunnen het illegaal verkopen aan een zwarte markt voor miljoenen dollars. Ze kunnen direct roem en duizenden dollars in beloning krijgen als ze de kwetsbaarheid legitiem melden via bug bounty programma.
wat krijgen ze door de methode online te delen, ook gratis? Wat krijgen ze voor het maken van een gratis tool / software op basis van het? Helemaal niets.
dus de gratis hacking tools die je op het Internet ziet zijn allemaal nep. Verspil uw kostbare tijd zoeken dergelijke hack tools niet verspillen.
als alle FB hacking methoden technische expertise nodig hebben, hoe komt het dan dat een groot aantal mensen hun account gehackt krijgen?
er zijn een aantal methoden zoals Phishing die gemakkelijk kunnen worden gedaan met behulp van de bronnen die beschikbaar zijn op het Internet. U kunt meer informatie over dergelijke Facebook hacking methoden te leren.
zie ook waarom Facebook Me $10.000 USD beloonde voor het hacken van privéfoto ‘ s van Facebook mobile app met behulp van een beveiligingsprobleem.
een dief gebruikt mogelijk niet altijd uw deuropening om thuis te komen. Op dezelfde manier, een hacker kan niet uw wachtwoord nodig op alle tijd om uw Facebook-account te hacken. Eigenlijk, de meeste van de tijd een wachtwoord is niet nodig voor een hacker om uw Facebook-account te hacken. Klinkt raar? Tenzij je een hacker bent 😉
Hackers zijn geen goochelaars om trucs te gebruiken om de show gedaan te krijgen. Ze doen het op een moeilijke manier. Ze besteden dag en nacht onderzoek naar een beveiligingsprobleem van invloed Facebook vinden. Het hacken van een account is niet moeilijk als ze eenmaal een kwetsbaarheid.
we gaan een aantal Facebook hacking technieken ontdekt op bug bounty programma dat iedereen had kunnen laten hacken in een FB-account zonder wachtwoord te behandelen. Houd er rekening mee dat alle hier genoemde methoden zijn gepatcht door het Facebook-team en het werkt niet meer. Maar je krijgt een basisidee van hoe hackers een account zou kunnen hacken zonder het weten van de werkelijke wachtwoord te krijgen. Controleer de link geplaatst in elke methode als u meer details wilt bekijken.
Hack een Facebook-account met een mobiele SMS
deze kwetsbaarheid kan een gebruiker FB-account gemakkelijk te hacken in een fractie van seconden. Alles wat je nodig hebt is een actief mobiel nummer. Deze fout bestond in bevestigen Mobiel nummer eindpunt waar gebruikers hun mobiele nummer te verifiëren.
het uitvoeren van deze kwetsbaarheid is zeer eenvoudig. We moeten een bericht sturen in het volgende formaat.
FBOOK tot 32665 (voor de VS)
u moet een shortcode ontvangen. Dan, een verzoek aan de FB-server met het doel gebruiker ID, shortcode, en een paar andere parameters kan de magie doen.
Voorbeeldverzoek
Post / ajax / settings / mobile / confirm_phone.php
Host: www.facebook.com
profile_id=<target_user_id>&code=<short_code>&other_boring_parameters
dat is het. Het verzenden van dit verzoek aan Facebook server met een gebruiker cookies kan het doelaccount hacken. Uw mobiele nummer zal worden gekoppeld aan de doelgebruiker FB-account zodra u een antwoord van de FB-server. Nu kunt u een wachtwoord reset verzoek te starten met behulp van het mobiele nummer en hack in de doelgroep account gemakkelijk.
deze kwetsbaarheid werd gevonden door Jack in 2013. FB security team patched het probleem vrij snel en beloonde hem $20.000 USD als onderdeel van hun bounty programma.
Hack een Facebook-account met Brute Force Attack
deze brute force kwetsbaarheid leidt tot volledige overname van FB-account die werd gevonden door Anand in 2016. Facebook beloonde hem $ 15.000 als onderdeel van hun bug bounty programma.
deze fout gevonden op reset wachtwoord eindpunt van Facebook. Wanneer een gebruiker zijn wachtwoord vergeet, kan hij/zij zijn / haar wachtwoord opnieuw instellen met behulp van deze optie door zijn / haar telefoonnummer of e-mailadres in te voeren.
een 6-cijferige code wordt naar de gebruiker gestuurd om te controleren of het verzoek door de betrokken persoon is gedaan. De gebruiker kan vervolgens zijn wachtwoord opnieuw instellen door de 6-cijferige verificatiecode in te voeren.
men kan geen verschillende combinaties van de code proberen meer dan 10 tot 12 pogingen omdat de FB-server het account voor het opnieuw instellen van het wachtwoord tijdelijk zal blokkeren.
Anand vond dat mbasic.facebook.com en beta.facebook.com niet in geslaagd om de brute kracht validatie waardoor een aanvaller om alle mogelijkheden van de zes-cijferige code te proberen uit te voeren.
Monsteraanvraag
Post / recover / as / code /
Host: mbasic.facebook.com
n = <6_digit_code>&other_boring_parameters
door alle mogelijkheden (brute forcering) van de zescijferige parameter (n=123456) te proberen, kan een aanvaller een nieuw wachtwoord instellen voor elke FB-gebruiker. Dit kan worden bereikt door een brute kracht tool online beschikbaar.
Facebook fixed deze kwetsbaarheid door het plaatsen van limieten op het aantal pogingen die men kan uitvoeren op de reset code eindpunt.
Hacking any Facebook account using Brute Force Attack-2
Arun vond dezelfde brute force kwetsbaarheid in een ander subdomein (lookaside.facebook.com) van Facebook die hem had gekregen $10.000 beloning van Facebook in 2016.
aanvankelijk verwierpen ze de bug door te zeggen dat ze het niet kunnen reproduceren. De kwetsbaarheid werd geaccepteerd pas na een paar weken tijd en de patch werd uitgerold zodra hun beveiligingsteam was in staat om het probleem te reproduceren.
en de voorbeeldaanvraag ziet er als volgt uit
Post / recover / as / code /
Host: lookaside.facebook.com
n = <6_digit_code>&other_boring_parameters
het aanvalsscenario is precies hetzelfde als bij de vorige methode en het enige verschil is de domeinnaam.
hacken van een Facebook-account met behulp van een Cross Site Request Forgery Attack
deze methode vereist dat het slachtoffer een websitelink bezoekt (in een browser waar het slachtoffer moet zijn aangemeld bij Facebook) om de hacking-aanval te voltooien.
voor degenen onder u die niet weten over CSRF-aanvallen, lees er hier over.
de fout bestond in het Claimen van e-mailadres eindpunt van Facebook. Wanneer een gebruiker beweert een e-mailadres, er was geen server-side validatie uitgevoerd van welke gebruiker het maken van de aanvraag dus het maakt het mogelijk een e-mail te worden geclaimd op een FB-account.
u moet de URL van de e-mailclaim opvragen voordat u een CSRF-aanvalspagina maakt. Voor dat, proberen om uw e-mailadres te wijzigen in een e-mailadres dat al wordt gebruikt voor een FB-account. Dan wordt u gevraagd om de e-mail te claimen als die van u is.
een popup met claim knop moet u omleiden naar de URL die we nodig hebben zodra we klikken op de claim knop.
URL moet er zo uitzien
https://www.facebook.com/support/openid/accept_hotmail.php?appdata=%7B%22fbid%22%3A%22&code=<code>
je hebt de URL. Het laatste wat we moeten doen is om een pagina te maken om de URL in een iframe te zetten en stuur het naar het slachtoffer.
het e-mailadres zal worden gekoppeld aan de Facebook-account van het slachtoffer zodra hij/zij navigeert naar de URL. Dat is het. U kunt nu Hack slachtoffer Facebook-account via reset password optie.
deze CSRF account overname kwetsbaarheid werd gevonden door Dan Melamed in 2013 en werd onmiddellijk gepatched door FB security team.
Hack een Facebook – account met behulp van CSRF-2
deze hacktechniek is vergelijkbaar met de vorige waarbij het slachtoffer de website van de aanvaller moet bezoeken om de aanval te laten werken.
deze kwetsbaarheid werd gevonden in contact importeer eindpunt. Wanneer een gebruiker Facebook goedkeurt om toegang te krijgen tot Microsoft Outlook contact boek, een verzoek aan FB server wordt gedaan die op zijn beurt voegt de e-mail naar de respectieve Facebook-account.
men kan dit doen door Contactpersonen zoeken optie in de aanvaller Facebook-account. Dan moet je het volgende verzoek aan FB server (gebruik intercepting proxy zoals burp)
https://m.facebook.com/contact-importer/login?auth_token=
hetzelfde GET request kan worden gebruikt om de CSRF aanval perfrom. Het enige wat je hoeft te doen is om de URL in een iframe insluiten in de aanval pagina en delen van de link met het slachtoffer.
het account van het slachtoffer kan worden gehackt zodra het slachtoffer de aanvalspagina bezoekt.
deze bug werd gevonden door Josip op 2013 en gepatcht door FB security team.
6. Hacking alle acties op Facebook-account-een CSRF Bypass
deze CSRF kwetsbaarheid stelt de aanvaller in staat om het account volledig over te nemen en heeft ook de mogelijkheid om alle acties uit te voeren, zoals het leuk vinden van pagina, het plaatsen van een foto, enz. op het Facebook-account van het slachtoffer anoniem zonder het account te hacken.
deze fout bestond in het Ads manager eindpunt. Het voorbeeld account overname CSRF verzoek ziet er als volgt uit
POST /ads/manage/home/?show_dialog_uri = /settings/email/add/submit/?new_email = <attacker_email>
het enige wat de aanvaller hoeft te doen is een CSRF-pagina maken met een formulier om het berichtverzoek automatisch in een iframe in te dienen wanneer het slachtoffer op de pagina landt. E-mail van de aanvaller zal anoniem worden toegevoegd aan het account van het slachtoffer.
dan kan de aanvaller het Facebook-account van het slachtoffer hacken door het wachtwoord te resetten.
dit werd gevonden door Pouya Darabai in 2015 en kreeg een bounty van $15.000 via Facebook bug bounty programma.
7. Hack elke Facebook-pagina zonder een admin
deze Facebook-pagina hacken methode werd gevonden door Arun in 2016 en heeft een beloning van $16.000 USD voor het.
Business manager eindpunt gebruikt om een partner toe te wijzen was kwetsbaar in dit geval. Door de parameter partner business asset ID te wijzigen in een pagina-ID kon Arun elke pagina hacken.
Voorbeeld Verzoek
POST /business_share/asset_to_agency/
Host: business.facebook.com
parent_business_id=<business_id>&agency_id=<business_id>&asset_id=<target_page_id>
Business ID parameter moet worden toegewezen aan de aanvaller business-ID en asset ID parameter moet worden vervangen door de doel-Facebook pagina-ID.
dat is het. Nu moet de doelpagina eigendom zijn van het bedrijf. De aanvaller kan de bestaande pagina admins verwijderen om de Facebook-pagina volledig over te nemen.
8. Hacking Facebook gebruiker privé foto ‘s
deze private foto’ s kwetsbaarheid werd gevonden door mij in 2015 en kreeg een beloning van $10.000 als onderdeel van hun bounty programma.
wat bedoel ik in de eerste plaats met privéfoto ‘ s? De foto ’s die je hebt in mobiele en niet gepubliceerd op Facebook dat zijn degenen die ik bedoel als Ik zeg privé foto’ s.
de mobiele app heeft een standaardfunctie genaamd het synchroniseren van mobiele foto ‘ s. Interessant is dat deze functie standaard is ingeschakeld in sommige mobiele telefoons.
deze functie uploadt uw mobiele foto ‘ s naar de FB-server, maar houdt het privé totdat u het handmatig publiceert op Facebook.
een kwetsbaarheid op een eindpunt waarmee deze privéfoto ’s worden behandeld, maakt het mogelijk dat apps van derden privéfoto’ s van gebruikers kunnen bekijken/openen. Om deze aanval te laten werken, moet de app van derden toegang hebben tot de openbare foto ’s van de gebruiker, alleen dan kan het toegang krijgen tot de privéfoto’ s.
voorbeeldaanvraag voor Graph API om toegang te krijgen tot de privéfoto ‘ s van het slachtoffer ziet er als volgt uit
GET /me/vaultimages
Host: graph.facebook.com
access_token = <victim_access_token>
dat is het. De reactie van de API eindpunt moet de URL ’s om privé foto’ s van het slachtoffer.
Facebook heeft het probleem opgelost door de apps die toegang hebben tot het vaultimages-eindpunt op de witte lijst te zetten.
9. Hacking foto ‘ s van elke Facebook-gebruiker
Arul Kumar vond een manier om een foto op Facebook te verwijderen in 2013 en ze beloonden hem $12.500 voor zijn inspanningen.
Facebook heeft een functie om foto ‘ s aan de eigenaar te rapporteren als iemand de foto wil laten verwijderen. De eigenaar van de foto krijgt een melding en een link om de foto te verwijderen zodra gemeld door iemand.
Arul vond dat de support dashboard photo reporting functie was niet valideren van de eigenaar ID ‘ s goed dus het stond hem toe om de eigenaar ID parameter te vervangen door zijn eigen Facebook account ID om de foto verwijderen link direct te krijgen.
dan kan de aanvaller de foto verwijderen met behulp van de verkregen link van de exploit. Het ergste aan deze aanval is dat het slachtoffer niet weet dat de foto is verwijderd. Deze kwetsbaarheid is nu volledig opgelost.
10. Hack foto/videoalbums
deze kwetsbaarheid werd gevonden door mij in 2015 dat me in staat stelde om alle albums op Facebook Facebook. Albums met duizenden foto ’s en video’ s kunnen direct worden verwijderd zonder de interactie van de eigenaar.
Graph API is de primaire manier van communicatie tussen de server en native/third party apps. Albums knooppunt van Graph API eindpunt was kwetsbaar voor onveilige object verwijzing dus het stond me toe om een gebruiker album-ID uit te geven om de verwijdering te verwerken.
een voorbeeldverzoek om een Facebook-fotoalbum te verwijderen
POST / <album_id>
Host: www.facebook.com
access_token = <top_level_facebook_access_token>&method = delete
dit kan het in de id parameter opgegeven album verwijderen. De aanvaller moet de toestemming hebben om het album te bekijken om de aanval te voltooien. Facebook patched dit probleem door de vaststelling van het eindpunt om alleen gebruikers met privileges en beloonde me $12,500 USD voor het melden van de kwetsbaarheid.
11. Hack alle Facebook-video ‘s
Pranav vond een kwetsbaarheid die hem in staat stelde om alle Facebook-video’ s te verwijderen zonder concent permissies.
Facebook heeft een optie om video toe te voegen aan reacties op elk bericht. Pranav vond dat het bevestigen van bestaande video ‘ s aan een opmerking is mogelijk en het verwijderen van de opmerking kan ons laten verwijderen van de bron video gemakkelijk.
dus de aanvaller moet proberen om een bestaande reactie op een post met de Facebook video-ID van iemand te bewerken via de volgende graph API-aanvraag.