Recorrendo simplesmente à funcionalidades das notas
Quando se fala sobre segurança informática na rede social mais popular do mundo, a ideia que se tem é que a plataforma tem as melhores soluções ao nível de segurança e que é gerida por recursos humanos altamente qualificados.
No entanto, segundo informações recentes, o Facebook tem uma falha grave, que permite a qualquer utilizador realizar ataques de negação de serviço distribuídos (DDoS), usando os próprios servidores do Facebook, para atacar sites.
IMAGEaHR0cDovL3BwbHdhcmUuc2Fwby5wdC93cC1jb250ZW50L3VwbG9hZHMvMjAxNC8wNC9mYWNlYm9va18wMDZfdGh1bWIuanBn
A informação relativamente a esta falha grave na plataforma do Facebook que reside na secção das notas surgiu ontem, depois de um investigador da área da segurança, com o nickname chr13, ter publicado no seu site várias informações sobre esta vulnerabilidade.
De acordo com o investigador, qualquer utilizador pode facilmente iniciar um ataques de negação de serviço distribuído, com picos de largura de banda elevados.
chr13 explica que os utilizadores podem incluir nos posts tags (como por exemplo, IMAGE), com "imagens bonitas" de qualquer fontes. A plataforma faz simplesmente o downloads dessas imagens, de fonte original, colocando essa informação em cache.
No entanto, se o URL da imagem tiver parâmetros dinâmicos, o mecanismo de cache do Facebook pode ser facilmente contornado e forçar que sejam descarregadas todas as imagens incluídas, sempre que um utilizador abra uma nota.
IMAGEaHR0cDovL3MyOS5wb3N0aW1nLm9yZy9yMjk3NjhyZ24vcGFwYWluZXdlbGwzLnBuZw==
Cenário de ataque
Vamos considerar que que o utilizador pretende fazer um ataque ao site target.com que possui uma imagem com 1 MB. Então, o atacante cria uma nota no Facebook, com algum texto, e inclui também alguns paramentos dinâmicos:
IMAGEaHR0cDovL3MyOS5wb3N0aW1nLm9yZy80MjJqdHd0bXYvcGFwYWluZXdlbGwzLnBuZw==
O código anterior irá forçar com que os servidores do Facebook carreguem a imagem de 1 MB, 1000 vezes. No entanto, se 100 utilizadores fizerem a mesma acção, então 1 x 1000 x 100 = 100.000 Mb ou seja, 97,65 Gb de largura de banda, em poucos segundos.
400 Mbps Ataque DDoS - DEMO
Como prova de conceito, o investigar demonstrou um ataque com picos na ordem dos 400 Mbps. Segundo reporta, para este ataque foram usados 127 servidores do próprio serviço do Facebook.
IMAGEaHR0cDovL3BwbHdhcmUuc2Fwby5wdC93cC1jb250ZW50L3VwbG9hZHMvMjAxNC8wNC9kZG9zXzA0LmpwZw==
Esta é sem duvida uma falha gravíssima, naquela que é considerada a principal rede social e a maior do mundo. De referir que já em Março, o investigador tinha mostrado esta técnica para usar o Google como "plataforma para realizar ataques de DDoS".
