MakeMeLaughNow - फेसबुक (अनुवाद) पर एक नई पीढ़ी कीड़ा का विश्लेषण

हाल ही के एक विषय में, उन्होंने इच्छा व्यक्त की कि यदि कोई अनुवाद किया जाए तो अच्छा होगा। मैंने पाठ को देखा - ऐसा नहीं लगता। इसलिए, यह किसके लिए दिलचस्प है, हम देखते हैं ...





फेसबुक का नया दुर्भावनापूर्ण कृमि ऐप जारी किया गया है।



यह फेसबुक पर सैंडबॉक्स तंत्र से बचा जाता है और सक्रिय किया जाता है क्योंकि प्राधिकरण फ़ॉर्म दिखाया गया है - बस आवेदन पृष्ठ पर जाकर, आप अपने दोस्तों को एक संदेश भेजना शुरू करते हैं और अपनी स्थिति को अपडेट करते हैं।

जैसा कि niebezpiecznik.pl पर समाचार में कहा गया है, यह वितरण के लिए फेसबुक मोबाइल साइट (टच.फेसबुक डॉट कॉम) का उपयोग करता है। मैंने जल्दी से विश्लेषण किया - चलो देखते हैं कि आवेदन कोड में वास्तव में क्या है।



डिस्क्लेमर: घर पर ऐसा न करें- मैं एक पेशेवर स्टंटमैन हूं और खतरनाक तरीके से जीना भी पसंद करता हूं। अपने मानक फेसबुक अकाउंट पर इस विश्लेषण को न करें, अगर कोई कारनाम वहां पर लागू होता है तो वर्चुअल मशीन का उपयोग करें। जैसे ही मुझे पता चला कि touch.facebook.com शामिल है, मैंने कहा:

127.0.0.1 touch.facebook.com





से / etc / मेजबान (यह मेरे कंप्यूटर पर touch.facebook.com के लिए सभी अनुरोधों को रीडायरेक्ट करता है), लेकिन कृपया सावधान रहें। आपको चेतावनी दी गई है।

चलो जल्दी से चारों ओर देखो

एप्लिकेशन मुख पृष्ठ इस तरह दिखता है:







आप सभी देख सकते हैं कि कुछ विज्ञापन हैं। लेकिन उसके नीचे, बहुत सारी चीजें हो रही हैं। आइए Firebug नेटवर्क बार को देखें।





आपके द्वारा किसी भी अनुमति का अनुरोध करने से पहले ही, एप्लिकेशन पहले ही टच.फेसबुक डॉट कॉम को अनुरोध भेज देता है, संभवतः संदेश भेज रहा है और आपकी ओर से अन्य कार्य कर रहा है। इन अनुरोधों को स्क्रीनशॉट में लाल रंग में चिह्नित किया गया है (मैंने फेसबुक मोबाइल साइट को अवरुद्ध किया है)। उसके बाद, be2.pl से विज्ञापन लोड किया जाता है। तो आवेदन निश्चित रूप से दुर्भावनापूर्ण है।

लघु कोड प्राप्त करें

कोड ही और HTML में हैं apps.facebook.com/fbml/fbjs_ajax_proxy.php?__a=1







कोड को JSON फ़ाइल में सैंडबॉक्स किया गया है और इस तरह दिखता है:



JSON फ़ाइल को स्थानीय डिस्क पर डाउनलोड करने और फिर इसे निकालने के बाद (मैंने निष्कर्षण के लिए PHP और Spidermonkey का उपयोग किया और प्रारूपण के लिए ग्रहण) हमें अंतिम आवेदन कोड मिलता है ( चरण 2_2.js देखें ) ।

सैंडबॉक्स

सभी फेसबुक एप्लिकेशन " सैंडविचेड " हैं ताकि उन्हें वैश्विक विंडो ऑब्जेक्ट से लिंक करने से रोका जा सके (ताकि वे फेसबुक पेज को बदल नहीं सकें, पुनर्निर्देशित कर सकें, छिपे हुए फॉर्म भेज सकें, और इसी तरह)। इस विशिष्ट विश्लेषण के लिए निम्नलिखित महत्वपूर्ण बातों पर ध्यान दिया जाना चाहिए:

• JS कोड और ऑब्जेक्ट उपसर्ग aBIGNUMBER_variable_name
  
  
  
  ( aBIGNUMBER_variable_name
  
  
  
  ) में हैं
• HTML ऑब्जेक्ट में div id="appBIGNUMBER_name"
  
  
  
  ( div id="appBIGNUMBER_name"
  
  
  
  ) का उपयोग करके आईडी हैं ( div id="appBIGNUMBER_name"
  
  
  
  त्रिकोणीय कोष्ठक में संलग्न होना चाहिए, लेकिन उनके साथ हब्रो-संपादक ने निर्दयता से ट्विस्ट किया, हटा दिया - लगभग। )
• $FBJS
  
  
  
  उपयोग वैश्विक विंडो ऑब्जेक्ट को संदर्भित करने से एप्लिकेशन को रोकने के लिए किया जाता है। हमारे उद्देश्यों के लिए, आप यह मान सकते हैं
  
  $FBJS.idx(a) === a





$FBJS.ref(this) === this
  
  
  
  
• प्रतिस्थापन के लिए, मैंने 'x' अक्षर के साथ BIGNUMBER को बदल दिया।

इस पोस्ट में उपयोग किए गए सभी कोड github.com पर होस्ट किए गए हैं - देखो, यह वास्तव में दिलचस्प है।

के विश्लेषण

आवरण विधि

आरंभीकरण के बाद, आवेदन निम्नलिखित घोषणा के साथ शुरू होता है:



ax_domethod = ax_findvalues.firefunc(ax_document.getElementById('help_container').getFirstChild().getTitle());







इस प्रकार, एप्लिकेशन अपने DOM तत्वों में से एक का शीर्षक प्राप्त करता है और इसे किसी फ़ंक्शन में भेजता है। शीर्षक में क्या है? पृष्ठ कोड ( app.html ) को देखते हुए हम देखते हैं कि यह अजीब लगता है:

<div id="app100124540047022_m"

class="m"

fbcontext="6ff9e32a4c8c"

title="choy:ketmdslqxb.ujpzgvnra/fiw_?="/>









ऐसा लगता है कि हेडर एक कुंजी की तरह कुछ है जिसका उपयोग छिपे हुए एप्लिकेशन चर को डिक्रिप्ट करने के लिए किया जा सकता है। और हम सही हैं। दरअसल, choy:ketmdslqxb.ujpzgvnra/fiw_?=



एक डिक्शनरी है - ax_create.help () फ़ंक्शन इस डिक्शनरी से अक्षरों का चयन करके URL, फ़ील्ड नाम और इसी तरह बनाता है। वर्ण ऑफसेट को थोड़ा भ्रमित करने वाले चर ax_meth में परिभाषित किया गया है।

डेटा स्क्रैचिंग

ठीक है, एप्लिकेशन भ्रमित है और इसके चर को डिक्रिप्ट करने के लिए DOM ऑब्जेक्ट का उपयोग करता है। लेकिन यह क्या करता है?

चलो ax_findvalues को देखें :

var ax_findvalues = {

a : ((new ax_RegExp('st_.or._i.\\\x22 .al.e=\\\x22(.*?)\\\x22', ''))),

// <form action="http://www.facebook.com/wallpost.php" post_form_id value

b : ((new ax_RegExp('b_d.s.\\\x22 v..ue=\\\x22(.*?)\\\x22', ''))),

// value = type="hidden" id="fb_dtsg" name="fb_dtsg"

c : ((new ax_RegExp('po.le\\.pp\\?i.=(\\d+)\\\x22', ''))),

// href="http://www.facebook.com/profile.php?id=xxx" your profile ID

d : ((new ax_RegExp('na.e=\\\x22i.s\\[]\\\x22 vle=\\\x22(.*?)\\\x22', 'gi'))),

// name=ids[] value= -- your friend ids

//...







इस चर में बहुत दिलचस्प नियमित अभिव्यक्ति शामिल हैं - वे आपके दोस्तों की आईडी, आपकी खुद की आईडी और फेसबुक में एम्बेडेड एचटीएमएल कोड से कुछ अद्वितीय प्रमाणकों को एप्लिकेशन में निकालने के लिए उपयोग किए जाते हैं। लेकिन एप्लिकेशन इस डेटा के साथ कुछ नहीं कर सकता, क्योंकि हम "सैंडिंग" द्वारा सुरक्षित हैं, है ना? खैर, वास्तव में नहीं।

स्पर्श से हैक किया हुआ

टच द्वारा हैक किया गया - गेम गेम का एक नि: शुल्क अनुवाद "स्पर्श द्वारा एक्सप्लोड किया गया", जिसका शाब्दिक अर्थ है कि मोबाइल साइट स्पर्श.फेसबुक डॉट कॉम पर एक कारनाम का उपयोग किया गया था। - (लगभग अनुवाद।)





कोड में और भी गहराई से देखने पर, हम देख सकते हैं कि भ्रमित डेटा वास्तव में है:

m=http://touch.facebook.com/message_send.php

ftarg=fra

su=http://touch.facebook.com/submit_status.php (status update)

pid=post_form_id

lp=http://touch.facebook.com/reqs.php?id=

fhome=http://touch.facebook.com/home.php

fbd=fb_dtsg

hc=fb_dtsg









इसलिए, सबसे अधिक संभावना है, संदेश और अद्यतन स्थिति भेजने के लिए एप्लिकेशन संपर्क touch.facebook.com। फिर, हम सही हैं । प्रक्रिया ही:

• ax_findvalues.firefunc () ax_sheep, ax_params चरों ( पंक्ति 264 ) में आपकी मित्र ID और अन्य डेटा पुनर्प्राप्त करता है
• एक नया रूप और iframe बनाया जाता है।
• ax_methodaction ( लाइन 183 ) कुछ लोगों को निम्नलिखित संदेश के साथ touch.facebook.com पर एक फॉर्म भरता है (अधिकतम 20%):
  
  मैंने आपके बारे में सोचा ...
  
  
  
  ua उपहार भेजने के लिए मेरे fb विज्ञापन क्रेडिट का उपयोग करके im यहाँ = http: //apps.facebook.com/makemelaughnow/
  
  
• यदि आपके पास 500 से अधिक या 2 से कम है, तो स्थिति अपडेट करें: "केवल यहां जाएं यदि आप मेरे TRUE मित्र http: //apps.facebook.com/makemelaughnow /" हैं ( लिंक दूषित हैं तो भगवान ने किसी को भी क्लिक करने से मना किया है। Habra editor यदि लिंक के निर्माण को अक्षम करता है, तो स्वचालित स्थानान्तरण को निष्क्रिय कर देता है - लगभग अनुवाद। )।
• आप इस एप्लिकेशन को खुद से जोड़ रहे हैं ( पंक्ति 297 )
• विज्ञापन प्रदर्शित होता है और एप्लिकेशन अपनी वस्तुओं को साफ करता है।

निष्कर्ष

हम यहां जो देख सकते हैं वह एक ऐसा अनुप्रयोग है जो एक फेसबुक साइट की सामान्य साइट के रूप में एक ही प्रमाणीकरण का उपयोग करने पर फेसबुक भेद्यता का शोषण करता है, लेकिन "स्नूपिंग" तंत्र द्वारा संरक्षित नहीं है। इस प्रकार, अपनी स्थिति को अपडेट करने की अनुमति के अनुरोध के बजाय, एप्लिकेशन चुपचाप DOM से एक डेटा सत्र प्राप्त करता है और touch.facebook.com के माध्यम से अनुरोध भेजता है, सैंडबॉक्स सुरक्षा से बचने और जल्दी से फैलने - CSRF / सत्र के अपहरण के समान है। यह स्पष्ट है कि त्रुटि का उपयोग फेसबुक साइट पर किया जाता है। पाठ - अपने मोबाइल साइटों के बारे में मत भूलना ।



मूल यहाँ है ।



UPD ।: जैसा कि टिप्पणियों में सुझाया गया है, पार्सर लिंक को थोड़ा घुमाता है, इसलिए लिंक का अनुसरण करने के लिए, यह देखें कि वे कहां हैं और उन्हें सही करें।



PS यदि आपको अनुवाद में कोई अशुद्धि दिखती है, तो मुझे बताएं कि मैं रूसी प्रोग्रामर की शब्दावली पूरी तरह से नहीं बोलता।