Làm con bot login rồi đổi pw luôn
. Với điều kiện là f2a
thắc mắc Cơ chế hoạt động của đường dẫn - click vào là bay facebook
- Thread starter Play Girls
- Start date
. Với điều kiện là f2aLàm con bot login rồi đổi pw luôn
. Với điều kiện không có f2a
Bon tau giang ho
Senior Member
Không liên quan lắm, nhưng mình có nghe đến việc extension có thể lấy password/cookie của trang web. Cách đây vài tháng có vụ nhà cung cấp extension (mảng tmđt) ăn cắp cookie của khách trên Zalo, được đưa tin trên J2 Team
chugabietgophim
Junior Member
làm trang fake
Shin Hyo In
Senior Member
Đây gần như dạng kiểu tấn công Phishing ý bác.
Cơ Chế Hoạt Động:
- Chuyển Hướng Đến Trang Phishing: Khi nạn nhân nhấp vào đường link trong tin nhắn hoặc email, họ sẽ được đưa đến trang web giả mạo.
- Nhập Thông Tin: Trang giả mạo sẽ yêu cầu nạn nhân nhập thông tin cá nhân, thường là username và password.
- Thu Thập Thông Tin: Khi nạn nhân nhập thông tin, dữ liệu này sẽ được gửi đến kẻ tấn công.
- Sử Dụng hoặc Bán Thông Tin: Kẻ tấn công có thể sử dụng thông tin này để đăng nhập vào tài khoản Facebook của nạn nhân, hoặc bán thông tin này.
meekoo
Senior Member
Thêm case lừa đảo cho mn tham khảo nhé
www.facebook.com
Log in to Facebook
Log in to Facebook to start sharing and connecting with your friends, family and people you know.
www.facebook.com
nghĩ sao FB lại bị có lỗ hổng nào liên quan tới 2 thằng này để mà lợi dụng?
zaizai_vjp
Senior Member
Không phải tự dưng mà có cái thông báo này. Hồi 2015 nở rộ mấy trò dark theme, xem ai vào tường nhà bạn nhiều nhất,... là miếng mồi rất ngon. Rất nhiều người đã dán code vào console chạy rồi. Kết quả là Bùm, mất tài khoản
zaizai_vjp
Senior Member
Tùy theo cái chức năng đổi pass có yêu cầu pass hiện tại hay OTP không
Giờ bạn gửi cho mình bất cứ script nào đi mình mở console facebook lên chạy cho (đùng gửi script like, comment, share dạo các kiểu là đc, hack tài khoản thôi nhé), chưa kể đây là mình tự chạy script cho bạn chứ ko phải do bạn inject XSS từ lỗ hổng nào đó của FBKhông phải tự dưng mà có cái thông báo này. Hồi 2015 nở rộ mấy trò dark theme, xem ai vào tường nhà bạn nhiều nhất,... là miếng mồi rất ngon. Rất nhiều người đã dán code vào console chạy rồi. Kết quả là Bùm, mất tài khoản
View attachment 2107789
Hiện tại chỉ có cách "hack" duy nhất là tạo ra 1 trang web giả mạo rồi bằng mọi cách phải làm sao cho nạn nhân truy cập vào đó rồi tiếp tục dụ nạn nhân cung cấp tiếp user/pass thôi
Ngoài ra còn có cách ctrl+U copy toàn bộ source gửi cho hacker (cách này ko biết hiện tại còn sử dụng đc nữa hay ko).
Nhưng tất cả những cách trên đều ko được gọi là XSS hay CRFS nhé
Last edited:
hminh2005
Senior Member
Theo mình hiểu:
1. Có trang web giả mạo nhưng hình ảnh giống thật 100%, mỗi đường link là "fake" nên người dùng ít chú ý cứ thế là lao vào.
2. Sau khi vào trang đó thì phải truy nhập, dùng pass, khai báo vài thứ ....
3. Kẻ gian thu thập thông tin đó và vào trang web thật để truy nhập, đổi pass, email, phương thức kiểm tra 2 lớp ...
4. Nếu OK thì chính thức mất TK.
Nhưng có thắc mắc: Nếu mình dùng bảo mật 2 lớp thì khi thay đổi như vậy thường các mã xác nhận được gửi đến email, hay số ĐT đã đăng ký. Mà email hay số ĐT đó thì kẻ gian chưa thể thay thế của mình ngay được nên ko thể hack, hay chiếm quyền TK đó được.
Nên khi nhận được thông báo về mã số xác thực thì hoặc ko làm gì hoặc truy nhập trang của mình để kiểm tra và đổi pass ...
1. Có trang web giả mạo nhưng hình ảnh giống thật 100%, mỗi đường link là "fake" nên người dùng ít chú ý cứ thế là lao vào.
2. Sau khi vào trang đó thì phải truy nhập, dùng pass, khai báo vài thứ ....
3. Kẻ gian thu thập thông tin đó và vào trang web thật để truy nhập, đổi pass, email, phương thức kiểm tra 2 lớp ...
4. Nếu OK thì chính thức mất TK.
Nhưng có thắc mắc: Nếu mình dùng bảo mật 2 lớp thì khi thay đổi như vậy thường các mã xác nhận được gửi đến email, hay số ĐT đã đăng ký. Mà email hay số ĐT đó thì kẻ gian chưa thể thay thế của mình ngay được nên ko thể hack, hay chiếm quyền TK đó được.
Nên khi nhận được thông báo về mã số xác thực thì hoặc ko làm gì hoặc truy nhập trang của mình để kiểm tra và đổi pass ...
zaizai_vjp
Senior Member
Nếu bạn có vấn đề về đọc hiểu, không phân biệt được quá khứ và hiện tại thì mình xin phép dừng tranh luận nhé. Chào bạn!
meekoo
Senior Member
Người ta ko hiểu thì giải thích lịch sự nhẹ nhàng, người ta cũng đâu có thượng đẳng gì với anh đâu? Chỗ này ko phải F33 mà anh bày tỏ quan điểm mạnh mẽ vậy?
meekoo
Senior Member
Bật được bảo mật 2 lớp là một lớp bảo vệ rất mạnh mẽ. Nhưng vấn đề là nhiều người sẽ ko nhận thức được, otp gửi về là phải giữ bí mật, ko được chia sẻ với bất kì ai.
Nhiều người ko biết, gửi cả opt cho hacker. Vậy là đi rồi.
Mà kịch bản như vậy lại xảy ra cực kì phổ biến nhé.
psyduck3
Junior Member
Khi bạn ko biết trả lời ntn, hãy dùng mẫu câu này, thoát pressing ác
datltv
Junior Member
Có một cách phishing nhưng tinh vi hơn, là kiểu giả pop-up login của facebook bằng HTML/CSS.
Như ảnh dưới này nó có thể thay đổi cả URL trên cái pop-up giả để trông giống y change pop-up window thật. Làm kỹ thì detect User Agent rồi show ra những giao diện khác nhau cho mỗi hđh/trình duyệt, thậm chí có cả toolkit lo việc đó luôn.
Cái này người có kiến thức vẫn có thể bị lừa, cứ nghĩ là lỗi hoặc lâu ngày không đăng nhập nó tự đăng xuất,...
Để phòng tránh thì khi thấy pop-up dạng này, mình nên tập thói quen kéo window con ra ngoài window trình duyệt khi đăng nhập, nếu kéo ra được và domain tin cậy thì có thể đăng nhập được.
Như ảnh dưới này nó có thể thay đổi cả URL trên cái pop-up giả để trông giống y change pop-up window thật. Làm kỹ thì detect User Agent rồi show ra những giao diện khác nhau cho mỗi hđh/trình duyệt, thậm chí có cả toolkit lo việc đó luôn.
Cái này người có kiến thức vẫn có thể bị lừa, cứ nghĩ là lỗi hoặc lâu ngày không đăng nhập nó tự đăng xuất,...
Để phòng tránh thì khi thấy pop-up dạng này, mình nên tập thói quen kéo window con ra ngoài window trình duyệt khi đăng nhập, nếu kéo ra được và domain tin cậy thì có thể đăng nhập được.
Dbeaver
Senior Member
adu cao chiêu phết
rongthhieng2007
Senior Member
Facebook lỗ hổng đầy, mới năm trc còn vụ bị khai thác bypass 2fa code
nên đừng thắc mắc làm gì, hacker nó nhiều cái ảo lắm
meekoo
Senior Member
Anh rồng biết gì thì chia sẻ vài case cho ae tham khảo?Facebook lỗ hổng đầy, mới năm trc còn vụ bị khai thác bypass 2fa code
Similar threads
