Laxman Muthiya ist ein Sicherheitsforscher, der kürzlich feststellen konnte, dass er jedermanns Instagram hacken kann, ohne dass seine Zustimmung erforderlich ist. Der ausgebildete Hacker hat diese Informationen nicht zu seinem eigenen Vorteil verwendet. Stattdessen schickte Laxman Muthiya die Details der Sicherheitslücke in Bezug auf Cybersicherheit an Facebook und er erhielt 30.000 Dollar für seine Ehrlichkeit.
Facebook Es gibt ein Belohnungsprogramm, mit dem diejenigen belohnt werden, die Probleme innerhalb der Sicherheitskontrollen finden und melden. Facebook. Laut Muthiya hat das berühmte Social-Media-Unternehmen kürzlich den Betrag erhöht, den es als Belohnung für das Auffinden von Schwachstellen zahlt, die als kritisch eingestuft wurden, wie z. B. Kontoerwerb. Deshalb hat der Cybersicherheitsexperte beschlossen, sein Glück zu versuchen.
Laxman Muthiya versuchte verschiedene Ansätze, um den Passwortmechanismus von Instagram zu umgehen. Der linkbasierte Mechanismus zum Zurücksetzen von Passwörtern war jedoch zu robust und konnte keine Fehler darin finden. Es ging jedoch weiter, bis er einen mobilen Wiederherstellungsfluss entdeckte. In seinem Blog schreibt er: „Wenn ein Benutzer seine Handynummer eingibt, wird ein sechsstelliger Zugangscode an seine Handynummer gesendet. Sie müssen es eingeben, um ihr Passwort zu ändern. Wenn wir also alle Millionen Codes am Endpunkt der Codeüberprüfung testen können, können wir das Kennwort für jedes Konto ändern. ‘
Laxman Muthiya ging jedoch davon aus, dass gegen solche Angriffe ein Tempolimit festgelegt werden würde. Er verbrachte die nächsten zwei Tage damit, seine Theorie zu testen und erfuhr, dass es ihm durch die Verwendung einer Karrierebedingung und eines IP-Rotationsfehlers gelang, das Passwort eines jeden zu ändern und auf dessen Konten zuzugreifen. Facebook Er war zunächst nicht in der Lage, den Fehler zu reproduzieren, der es Muthiya ermöglichte, auf jedermanns Konto zuzugreifen. Erst nachdem er ihnen mithilfe seines Proof-of-Concept-Videos weitere Details zur Verfügung gestellt hatte, Facebook konnte den Fehler reproduzieren.
Für einen solchen echten Cyber-Angriff müsste der Hacker 5.000 IP verwenden, um ein Konto zu hacken. Muthiya sagt jedoch: „Das klingt großartig, aber das ist wirklich einfach, wenn Sie einen Cloud-Dienstanbieter wie Amazon oder Google verwenden. Die Durchführung des vollständigen Millionen-Code-Angriffs würde rund 150 US-Dollar kosten. ‘
Facebook hat den Fehler behoben und Laxman Muthiya 30.000 US-Dollar für seine Bemühungen gezahlt.
