使用暴力攻黑客攻任何Facebook - 2
Arun在密破解Facebook的另壹子域（lookaside.facebook.com）中了同的暴力漏洞，漏洞在2016年Facebook得了10,000美元的。
最初，他拒，他法重它。漏洞在周後被接受，且壹旦安全能重，丁就推出。
示例求看起像
布/恢/ as / code /
主：lookaside.facebook.com
N = <6_digit_code>＆other_boring_parameters
攻景我在前壹方法fb密破解中看到的完全相同，唯壹的是域名。
1.png
4.使用跨站求造攻攻任何Facebook
此方法要求受害者站接（密破解在受害者登Facebook的器中）以完成黑客攻。
於那些不了解CSRF攻的人，在此。
漏洞存在於Facebook的子件地址端。用明子件地址，有行服器端哪用正在出求，因此它允在任何FB上明子件。
您需要在建CSRF攻面之前取子件明URL。此，fb密破解您的子件地址更改已用於FB的子件地址。然後，如果於您，要求您提供子件。
有明按的出窗口在我明按後您重定向到我需要的URL。
址如下
https://www.facebook.com/support/openid/accept_hotmail.php?appdata=%7B%22fbid%22%3A%22&code= <代>
有址。我要做的最後壹件事是建壹面，URL放在iframe中其送受害者。
壹旦他/她航到URL，子件地址附加到受害者的密破解。而已。您在可以通重置密破解受害者的Facebook。
CSRF接管漏洞由Dan Melamed在2013 年，由FB安全立即修。
5.使用CSRF破解任何Facebook - 2
黑客技似於前壹技，受害者需要攻者站才能使攻作用。
在系人入程序端中此漏洞。用批FacebookMicrosoft Outlook的系簿，向FB服器出求，然後子件添加到相的Facebook。
可以通攻者Facebook中的查找系人密破解行此操作。然後找到以下FB服器的求（使用像burp的截代理）
https://m.facebook.com/contact-importer/login?auth_token=
可以使用相同的GET求行CSRF攻。您所要做的就是URL嵌入攻面的iframe中受害者共享接。
壹旦受害者攻面，受害者的就被黑客入侵。
是由Josip在2013 年的，密破解由FB安全修。
6.黑客Facebook上的任何操作 - CSRF
此CSRF漏洞允攻者完全接管，且能匿名行受害者Facebook上的任何操作，如喜面，布照片等，而不侵入。
告管理器端中存在此漏洞。示例接管CSRF求如下所示
POST / ads / manage / home /？show_dialog_uri = / settings / email / add / submit /？new_email = <attacker_email>
攻者所要做的就是建壹有表的CSRF面，密破解以便在受害者登面自在iframe中提交布求。攻者的子件匿名添加到受害者的中。
然後攻者可以通重置密攻入受害者的Facebook。
是Pouya Darabai在2015 年的，通Facebook bug金得了15,000美元的金。
7.在有管理的情下破解任何Facebook面
Facebook面黑客方法是由Arun 在2016 年的，得了16,000美元的。
在情下，用於分配合作夥伴的理端易受攻。fb密破解合作夥伴ID更改面ID允Arun入侵任何面。
品申
POST / business_share / asset_to_agency /
Host：business.facebook.com
parent_business_id = <business_id>＆agency_id = <business_id>＆ASSET_ID = <target_page_id>
ID分配攻者的ID，fb密破解ID替目Facebook面ID。
就了。在，目面所有。攻者可以除有的面管理以完全接管Facebook面。
8.黑客Facebook用的私人照片
我在2015年了私人照片漏洞，作金的壹部分得了10,000美元的。
私人照片首先是什麽意思？您在移密破解上布但未布到Facebook的照片就是我私人照片的意思。
移用程序具有同步移照片的默功能。有趣的是，某些手默用此功能。
此功能您的移照片上到FB服器，但在其手布到Facebook之前其保密。
理些私有照片的端中的漏洞允任何第三方用查看/用的私人照片。要使此攻有效，第三方用必能用的公照片，然後才能私人照片。
Graph API受害者私密照片的密破解示例求如下所示
GET / me / vaultimages 主持人：graph.facebook.com
的access_token = <victim_access_token>
而已。API端的包含受害者私密照片的URL。
Facebook通可以vaultimages端的用程序列入白名修此。
9.黑客任何Facebook用的照片
Arul Kumar在2013年找到了壹方法除密破解上的任何照片，他的努力了他12,500美元。
如果有人想要除照片，Facebook有壹向主人告照片的功能。照片的所有者收到通知，在有人告後除照片。
Arul支持表板照片告功能未正所有者ID，因此允他用自己的FacebookID替所有者ID以直接取照片除接。
然後攻者可以利用漏洞取的接除照片。密破解於次的最糟糕的部分是受害者不知道照片被除了。此漏洞已完全修。
10.破解任何Faceboo用的照片/
我在2015年漏洞我在密破解上取下任何。有千照片和的相可以立即除而需其所有者的互。
API是服器本/第三方用程序之的主要通信方式。Graph API端的Albums容易受到不安全的象引用的影，因此它允我出任何用的相ID理除。
除任何Facebook相的示例求
POST / <album_id>
主持人：www.facebook.com
的access_token = <top_level_facebook_access_token>＆方法=除
可能除ID中指定的相。密破解攻者有查看相以完成攻。Facebook修了，修改了端，只允有限的用，通告漏洞我12,500美元。
11.破解任何Facebook
Pranav了壹漏洞，允他除有享限的任何Facebook。
Facebook可以在任何帖子上添加。Pranav可以有附加到中，除可以我松除源。
因此，攻者通以下形API求使用某人的FacebookID帖子上的有。
