هک فیس‌بوک با استفاده از یک فایل متنی Word

رمضان سعی کرد که یک فایل docx که مثلاً رزومه شغلی و علمی او بود را در فضای قرار داده شده آپلود کند…

در ماه گذشته، یک محقق مصری موفق شد نقص امنیتی مهمی را در فیس بوک شناسایی کند. به گفته بسیاری از کارشناسان امنیت اینترنت، این نقص امنیتی به قدری بزرگ بود که می توانست تمامی کاربران را در معرض خطر قرار دهد.

به گزارش تکنــــــــــــــازدانلود: از روابط عمومی شرکت ایمن رایانه پندار نماینده انحصاری ضد ویروس پاندا در ایران، محمد رمضان بعنوان یک هکر “کلاه سفید” مصری، موفق شد پلت فرم محبوب فیس بوک را تنها با استفاده از یک سند متنی ساده Word هک کند.

به گفته این محقق، او همیشه در جستجوی کشف آسیب پذیری در پلت فرم های محبوب دنیا بوده که بتواند پتانسیل خود را به عنوان یک هکر اخلاقی به همگان اثبات کند. بالاخره او موفق شد این کار را با کشف یک نقص امنیتی بزرگ در اپلیکیشن فیس بوک که ویژه سیستم های عامل اندروید، iOS و ویندوز طراحی شده، به همگان نشان دهد.

مدت هاست که کارشناسان امنیتی امنیت فیس بوک را مورد انتقاد شدید قرار داده اند، اما زاکربرگ مدیریت اجرایی شرکت فیس بوک، بارها اعلام کرد که تمام حفره های امنیتی موجود در سرورهایشان را تحت پوشش قرار داده؛ اما انگار او در اشتباه بزرگی بوده است.

بعد از تحقیقات کامل این متخصص آی تی، او به وب بخشی از وب سایت فیس بوک که در جهت ایجاد فرصت های شغلی برای کاربران طراحی شده وارد شد و توانایی های خود را در این بخش مورد ارزیابی قرار داد.

در صفحه Careers at Facebook که برای کاریابی در فیس بوک ایجاد شده بود، هر کاربری میتوانست با ارسال رزومه خود، در انتظار یک فرصت شغلی باشد، به گفته این محقق، تنها فایل های متنی docx و داکیومنت Pdf قابل بارگذاری بود.

رمضان سعی کرد که یک فایل docx که مثلاً رزومه شغلی و علمی او بود را در فضای قرار داده شده آپلود کند. او می دانست که فایل های Docx فایل های فشرده ای هستند که محتوای داخل آنها از چندین فایل xml تشکیل شده است و به سادگی توسط یک برنامه فشرده ساز قابل ویرایش است. بنابراین او به کمک برنامه ۷-zip ویندوز یک فایل متنی docx را باز کرد و از داخل آن فایل [Content_Types].xml را با کدهای شخصی خود جایگزین کرد تا بتواند با فایل دومی که روی سیستم شخصی خود دارد ارتباط از راه دور برقرار کند.

به کمک فایل دوم خود که فایلی با پسوند.dtd بود و کد داخل آن مطابق او دستکاری شده بود، یک فایل .docx جعلی ایجاد کرد و آن را آماده آپلود در سرور کاریابی فیس بوک کرد.

قبل از اینکه او فایل جعلی را در سرور فیس بوک آپلود کند، بررسی کرد که با آپلود فایل مربوطه به هر سرور دیگری، قادر است با سیستم خود ارتباط بر قرار کند یا خیر. نتیجه آزمایش او همانطور که انتظار داشت مثبت بود و او توانست از طریق سرور خارجی که ساخته بود با سیستم شخصی خود ارتباط برقرار کند.

سپس رمضان در وب سایت اطلاع رسانی خود اعلام کرد: “من به کمک یک فایل متنی ساده، توانستم سرور فیس بوک را مجبور کنم تا با رایانه شخصی من ارتباط بر قرار کند !”

به نظر می رسد او با استفاده از نقص امنیتی XXE موجود که قبلاً در سال ۲۰۱۳ توسط کارشناسان امنیتی فیس بوک رفع شده بود، موفق شد به این دستاورد بزرگ دست یابد.

از این طریق، او قادر بود به پروفایل و تمامی فایل های متعلق به کاربرانی که رزومه خود را در فیس بوک باگذاری می کردند دسترسی کامل داشته باشد.

حال تصور کنید که این دسترسی به یک سیستم تحت شبکه سازمانی صورت گیرد، این اتفاق زمانی رخ می دهد که کارمندان یک سازمان در محیط کاری خود به فیس بوک متصل شوند و فایل رزومه خود را در آن آپلود کنند.

درحال حاضر این نقص بزرگ پوشش داده شده است و این هکر موفق، بابت اعلام نقص دریافتی خود به فیس بوک، مبلغی حدود ۶۳۰۰ دلار به عنوان پاداش دریافت کرد. اما وجود چنین اشکالی نشان می دهد که آسیب پذیری اکانت های فیس بوک ساده تر از آن چیزی است که به نظر می رسد اما کاربران از وجود این آسیب پذیری ها آگاه نیستند.