الكشف عن هوية مديري صفحات فيسبوك 2014
أنا خليل شريتح، وفي عام 2014، اكتشفت ثغرة أمنية في فيسبوك سمحت لي بالكشف عن هوية مديري الصفحات (Page Admins). دعني أحكي لك تفاصيل هذا الاكتشاف وكيف ساهم في تحسين خصوصية المستخدمين، بالإضافة إلى حصولي على مكافأة قدرها 500 دولار.
كيف اكتشفت الثغرة
أثناء اختباري لإعدادات الصفحات على فيسبوك، لاحظت وجود خلل في نظام حماية بيانات مديري الصفحات. هذا النظام يفترض أن يحمي هوية الأشخاص الذين يديرون الصفحات، لكنني وجدت طريقة تتيح لي الوصول إلى أسمائهم بسهولة.
لإثبات الثغرة، قمت بتجربة العملية على عدة صفحات عامة، وتمكنت من معرفة أسماء المستخدمين المرتبطين بها دون أي قيود. كان ذلك انتهاكًا واضحًا لخصوصية الأفراد الذين يديرون هذه الصفحات، سواء كانت صفحات تجارية أو شخصية.
إبلاغ فيسبوك ورد فعلهم
بعد التأكد من وجود الثغرة، قمت بإبلاغ فريق الأمن في فيسبوك من خلال برنامج مكافأة الأخطاء (Bug Bounty). قام الفريق بمراجعة تقريري، وأكدوا أن هذه المشكلة تشكل خطرًا على خصوصية مديري الصفحات.
في غضون أيام قليلة، أصلحت فيسبوك الثغرة، وتلقيت رسالة شكر منهم على جهودي. كجزء من برنامج المكافآت، حصلت على جائزة مالية قدرها 500 دولار تقديرًا لمساهمتي في حماية المنصة.
الأثر العالمي لهذا الحدث
هذا الاكتشاف كان له تأثير ملحوظ على المستوى العالمي، خاصة بالنسبة للأفراد والشركات التي تدير صفحات على فيسبوك. بعد إصلاح الثغرة، تناولت مواقع تقنية عالمية مثل PCMag وDigital Trends هذا الحدث، مشيرة إلى أهمية حماية هوية مديري الصفحات لتجنب المخاطر مثل الاستهداف أو التحرش.
على الصعيد العالمي، ساهم هذا الحدث في زيادة الوعي بأهمية الخصوصية الرقمية للأشخاص الذين يديرون صفحات على وسائل التواصل الاجتماعي. كما دفع فيسبوك إلى تعزيز أنظمة الحماية الخاصة بإدارة الصفحات، مما أفاد الملايين من المستخدمين حول العالم الذين يعتمدون على هذه الصفحات لأغراض تجارية أو شخصية.
أشعر بالفخر لأنني ساهمت في حماية خصوصية هؤلاء المستخدمين، وأتمنى أن تكون قصتي دافعًا لك لتكون أكثر حرصًا على إعدادات الخصوصية الخاصة بك. إذا كنت تدير صفحة على فيسبوك، أنصحك بمراجعة إعدادات الأمان الخاصة بك للتأكد من حماية هويتك.
تحياتي،
خليل شريتح
Vulnerability Name: Page admin disclosure vulnerability October/2014
Impact :
This vulnerability allowes Facebook user to know who is the admin of any Facebook page
Details :
One of Facebook last year updates allows users to choose one of their pages usernames to leave a comment with, They replaced the old style where we was able to change from our page username to our account username from the top of the page . As you see in the above picture i have different usernames i can choose between to leave a comment on my page post or any other facebook page post .
After making few tests i was able to take the advantage of this new feature to exploit it in other behavior where i can know any page admin :) . Sorry there will be no code to display or POC video .
Timeline Report :
First Report : Oct 13, 2014 9:02pm
FB Reply : Oct 14, 2014 1:41am Asking for a POC Video and more information .
Second Report: Oct 14, 2014 7:53am POC Video Attached .
FB Reply: Oct 18, 2014 2:11am Failed To Exploit .
Third Report: Oct 18, 2014 7:49am More information and wondering why it did not work .. etc
FB Reply: 
Bounty : 500$
