如何獲取Facebook用戶的隱私好友列表

如何獲取Facebook用戶的隱私好友列表，針對(duì)這個(gè)問題，這篇文章詳細(xì)介紹了相對(duì)應(yīng)的分析和解答，希望可以幫助更多想解決這個(gè)問題的小伙伴找到更簡(jiǎn)單易行的方法。

當(dāng)擁有個(gè)人信息的組織機(jī)構(gòu)發(fā)生數(shù)據(jù)失竊或遭受未授權(quán)訪問行為時(shí)，就可能發(fā)生用戶信息泄露事件。通常來說，這是種安全事件會(huì)導(dǎo)致一些敏感受保護(hù)的機(jī)密數(shù)據(jù)被廣泛流傳、分析或惡意利用。本文分享的漏洞writeup，只需知道Facebook用戶的注冊(cè)郵箱或者手機(jī)號(hào)碼，就能間接獲取該用戶相關(guān)的隱私好友列表，進(jìn)而推斷出用戶的一個(gè)大致的社交關(guān)系圖譜。

按照Facebook幫助頁面的說明來看，“你可能認(rèn)識(shí)的人”（People You May Know）這項(xiàng)功能可以幫助Facebook用戶找到更多相識(shí)的朋友，該功能建立起你和對(duì)方之間的關(guān)系是基于以下因素來進(jìn)行判斷的：

1.你們之間有共同朋友或存在相互朋友關(guān)系，這也是建立這種可能認(rèn)識(shí)關(guān)系的最根本原因；

2.你們?cè)谕粋€(gè)Facebook群組中，或是在同一張照片中被標(biāo)記過；

3.另外就是你們通過同一個(gè)網(wǎng)絡(luò)出口（學(xué)校、單位）登錄過Facebook賬戶。

Facebook好友列表的隱私設(shè)置

默認(rèn)來說，F(xiàn)acebook用戶的好友列表是公開的，當(dāng)然，F(xiàn)acebook也給這個(gè)好友列表設(shè)置了三種不同的隱私選項(xiàng)：公開、朋友可見和僅自己可見等自定義設(shè)置），具體參考Facebook幫助頁面說明。

漏洞發(fā)現(xiàn)

這里作者發(fā)現(xiàn)的漏洞是這樣的：首先，在用戶注冊(cè)階段，惡意攻擊者可以通過先輸入目標(biāo)受害者的手機(jī)號(hào)碼作為注冊(cè)確認(rèn)的手機(jī)號(hào)碼，如下：

之后，F(xiàn)acebook會(huì)向這個(gè)手機(jī)號(hào)碼發(fā)送一個(gè)短信驗(yàn)證碼，而且要求在確認(rèn)界面輸入這個(gè)驗(yàn)證碼，如下：

當(dāng)然了，惡意攻擊者肯定是不知道目標(biāo)受害者的短信內(nèi)容了，更別提這個(gè)短信驗(yàn)證碼了。所以，在這里攻擊者可以點(diǎn)擊界面中出現(xiàn)的“更新聯(lián)系方式”（Update Contact info）按鈕，在跳出的新手機(jī)號(hào)碼或新郵箱地址添加欄中，填寫攻擊者自己的郵箱地址hack@rajsek.com，如下：

接下來，攻擊者自己的郵箱hack@rajsek.com中會(huì)收到一封Facebook發(fā)來的驗(yàn)證碼郵件，在之前的確認(rèn)界面中填寫這個(gè)驗(yàn)證碼，選擇“繼續(xù)”（Continue）。然后，F(xiàn)acebook會(huì)提示該賬戶與hack@rajsek.com是綁定關(guān)系，且需攻擊者以郵箱hack@rajsek.com作為登錄憑據(jù)完成登錄：

現(xiàn)在，我們轉(zhuǎn)到以下鏈接去：

https://www.facebook.com/friends/requests/?fcref=swpsa

這個(gè)鏈接是“你可能認(rèn)識(shí)的人”URL，或者直接用curl對(duì)以下鏈接請(qǐng)求進(jìn)行抓包：

curl ‘https://www.facebook.com/gettingstarted/?step=friend_requests' -H ‘a(chǎn)uthority: www.facebook.com' -H ‘referer: https://www.facebook.com/gettingstarted/' -H ‘cookie: xxxx’ — compressed

這里，F(xiàn)acebook向惡意攻擊者推送的“你可能認(rèn)識(shí)的人”相關(guān)列表，正是目標(biāo)受害者的好友列表，如下：

整個(gè)過程可在以下PoC視頻中觀看，視頻中作者用目標(biāo)受害者郵箱為注冊(cè)人信息，用自己的手機(jī)號(hào)碼作為聯(lián)系更新信息，最終，這種方式也能同樣獲得目標(biāo)受害者好友列表。

該漏洞可以被一些惡意用戶或攻擊者利用，間接判斷出目標(biāo)受害者的社交關(guān)系圖譜。前提在于，只需要知道目標(biāo)受害者的注冊(cè)Facebook時(shí)使用的郵箱地址或者手機(jī)號(hào)碼，可以通過社工方式或是前述提到的好友關(guān)系建立依據(jù)來獲得。

關(guān)于如何獲取Facebook用戶的隱私好友列表問題的解答就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關(guān)注億速云行業(yè)資訊頻道了解更多相關(guān)知識(shí)。