アドレス帳でブルートフォースを使用してTelegramユーザー番号を決定する

こんにちは友人。 今日は、彼のニックネームだけを知って、電報の人の数を調べる方法を説明します。



理論：



1.制限の前に電話のアドレス帳に番号を追加します（iOSまたはAndroidスマートフォンに番号が存在する場合）

2.適切な人物のプロファイルを確認します

3.彼の番号がアドレス帳にある場合、この番号は電報プロファイルにも表示されます

4.そうでない場合、ブルートフォースを続けて勝者に数字を追加します



最初の点について-ここでは、アクションを自動化するスクリプトを作成できますが、これを行う方法がわからないため、2番目の電話を使用して理論をテストし、動作することが判明しました。 スクリーンショットを添付します。



スクリーン。 1位-

スクリーン。 2番-

スクリーン。 3番-

スクリーン。 4番-

これはバグではなく、電報に登録されている友人を検索する機能であることを理解していますが、電話番号でこの検索を無効にする設定はありません（誰かが私のものであっても、プロフィールに私の番号を表示します）番号はアドレス帳にあります）、明らかにそのような設定は追加されませんが、これは直接のセキュリティリスクです。攻撃者が電話番号を見つけた場合、SMSを通過してアカウントに入るコードを傍受できるか、有効になっている場合は削除できるためです追加のパスワード。 これがどのように行われるかについては、ここと回ですでに何度も議論されています（たとえば、携帯電話店の従業員に賄briを贈るなど）。 そして、SMSの代わりにGoogle認証システムを接続する機能の欠如は、このトピックが何であるかということ以上に私に衝撃を与えます。



3か月前にsecurity@telegram.orgでこの問題について書いたが、それに応えてまだ完全な沈黙が続いている。