Facebook, al igual que otras compañías de Internet, cuenta con un programa de recompensas llamado Bug Bounty que permite a los usuarios reportar fallos de seguridad a cambio de recompensas económicas de manera que tanto la compañía pueda mejorar la seguridad como los usuarios ganar una pequeña recompensa por ayudar a dicha mejora en lugar de vender el fallo de seguridad en el mercado negro.
Pese a las graves vulnerabilidades de seguridad que se han detectado últimamente en la plataforma, y que ya han sido solucionadas, aún hay un gran número de usuarios que participan en la búsqueda activa de vulnerabilidades. Muchas de ellas comunes pero otras muchas son de lo más complejas y curiosas como es el caso de esta descubierta hace pocos días.
Un investigador de seguridad intentó subir a Facebook un curriculum al apartado de empleo de la empresa, y, aunque la compañía únicamente permite documentos en formado .docx y .pdf, en esta ocasión se ha podido explotar una vulnerabilidad ocultando código dentro de estos documentos. Para ello este hacker incluyó un payload en el documento en cuestión y, sin realizar ninguna comprobación, el servidor lo aceptó y procesó.
El hacker activó un servidor local y quedó a la espera de alguna conexión remota desde los servidores de Facebook. Tras un pequeño tiempo de espera finalmente pudo ver los primeros resultados del ataque:
Estos pequeños intentos de conexión abrían una importante puerta trasera en la red social desde la que se podían conseguir diferentes fines:
- Ataques de denegación de servicio.
- Escaneo de puertos.
- Acceso a los datos almacenados en el servidor.
- Ataques de denegación de servicio a otros equipos conectados al servidor.
- Utilizar el ancho de banda para realizar ataques DDoS.
Es como tener el servidor delante de nuestras manos, por lo que se podría hacer prácticamente cualquier cosa con él, empezando por leer el fichero de las contraseñas.
Finalmente este hacker reportó la vulnerabilidad al equipo correspondiente que, poco después, solucionó la vulnerabilidad y le recompensó con la correspondiente recompensa. Puedes aprender de hacking ético por Internet.
Sin duda cada vez se descubren nuevas y más curiosas formas de atacar servidores de forma remota. Esta es una pequeña muestra de que la más mínima falta de comprobación al montar un servidor de cara al público puede llegar a suponer un importante fallo de seguridad que comprometa nuestra seguridad e incluso la de otras personas.
¿Conoces otros hackeos a otras plataformas utilizando técnicas similares a la de Facebook?
Fuente: attack-secure