Instagram hacked: εντελώς όμως….

Ο Wesley Wineberg, ένας ανεξάρτητος ερευνητής ασφαλείας, που συμμετείχε στο πρόγραμμα bug bounty του Facebook, κατάφερε να σπάσει τις άμυνες του Instagram και να αποκτήσει σχεδόν τον πλήρη έλεγχο της υπηρεσίας. Όταν ο ερευνητής αποκάλυψε την ευπάθεια στο Facebook, η εταιρεία απείλησε να τον μηνύσει, αντί να καταβάλει την αμοιβή του.hack Instagram

Ο Wineberg, ξεκίνησε την έρευνά του στα συστήματα του Ιnstagram μετά τη συμβουλή που του έδωσε ένας φίλος του, ότι η ιστοσελίδα sensu.instagram.com, παρέχει πρόσβαση στο διαχειριστικό panel του Ιnstagram.

Ο ερευνητής εντόπισε το λογισμικό που χρησιμοποιείται από το πάνελ διαχείρισης, (Sensu-Admin), και χρησιμοποιώντας μια παλαιότερη έρευνα που αναφέρει ότι το λογισμικό μπορεί να είναι ευάλωτο σε RCE ( code execution), κατάφερε να αποκτήσει πρόσβαση σε ένα από τα files που περιέχουν τα διαπιστευτήρια του Sensu που σχετίζονται με μια βάση δεδομένων PostgreSQL.

Σε αυτή τη βάση δεδομένων, ο Wineberg ανακάλυψε πάνω από 60 λIογαριασμούς εργαζομένων στο Instagram και στο Facebook. ΟΙ ήταν κρυπτογραφημένοι με bcrypt, αλλά αυτό δεν τον εμπόδισε να σπάσει ορισμένους που ήταν πολύ εύκολοι (changeme, Ιnstagram, password).

Έτσι σύντομα ήταν σε θέση να κάνει log-in στο περιβάλλον της sensu.

Ο Wineberg όμως δεν σταμάτησε εδώ. Από τα αρχεία ρυθμίσεων ανακάλυψε ένα πρόσβασης σε ένα λογαριασμό (AWS Amazon Web ), ο οποίος χρησιμοποιείται για την πρόσβαση σε διάφορα S3 (μονάδες αποθήκευσης δεδομένων).
Ανακάλυψε επίσης, τα SSL πιστοποιητικά του Ιnstagram, τα κλειδιά και άλλα API που χρησιμοποιούνται για αλληλεπίδραση με άλλες υπηρεσίες, φωτογραφίες χρηστών, και το στατικό περιεχόμενο της ιστοσελίδας Ιnstagram.com.

http://exfiltrated.com/research-Ιnstagram-RCE.php

iGuRu.gr The Best Technology Site in Greeceggns

Get the best viral stories straight into your inbox!















Written by giorgos

Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ....

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *

Το μήνυμα σας δεν θα δημοσιευτεί εάν:
1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
2. Προκαλεί βλάβη σε ανηλίκους.
3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους .
5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).