L’hack dell’OAuth di Facebook

Si chiama Goldshlager l’hacker israeliano che ha recentemente pubblicato sul suo blog un hack che intercetta l’OAuth di Facebook. Questo permette all’attaccante di avere pieno controllo sull’account vittima.
Per prendere l’OAuth (un token univoco che permette di effettuare query alla piattaforma di Facebook), Goldshlager si è concentrato sulla pagina di autorizzazione delle applicazioni. Il suo scopo è quello di bypassare questo “passaggio” ed avere accesso all’account senza che l’utente autorizzi direttamente la sua applicazione!

https://www.facebook.com/dialog/oauth/?app_id=YOUR_APP_ID&next=YOUR_REDIRECT_URL&state=YOUR_STATE_VALUE&scope=COMMA_SEPARATED_LIST_OF_PERMISSION_NAMES

Purtroppo però il parametro “next” è strettamente collegato ad “app_id” e non è possibile inserire un altro URL, se non quello dell’applicazione con cui è registrato. L’israeliano ha quindi cominciato ad inserire URL che potrebbero essere autorizzati come ad esempio *.facebook.com ma anche per questa volta il test non è andato a buon fine, continuava ad apparire un messaggio di errore:

Goldshlager ha quindi capito che il controllo avveniva tramite Regexp e si è subito messo all’opera per trovare un modo per bypassare anche questo ostacolo. La soluzione gli arriva dopo aver effettuato fuzzing sul parametro “next”. Aggiungendo infatti alla fine dell’URL “#!” il sistema accettava il parametro come corretto (sempre mantenendo il dominio su *.facebook.com)

%23~!   (Also Work)
%23%09! (Also Work)
touch.facebook.com/#%09!/,m.facebook.com/#~!/,

[…]next=https://touch.facebook.com/%23~!/apps/testestestte[…]

https://www.facebook.com/connect/uiserver.php?app_id=220764691281998&next=https%3A%2F%2Ftouch.facebook.com%2F%23%7E%21%2Fapps%2Ftestestestte%2F&display=page&fbconnect=1&method=permissions.request&response_type=token