这是侵入Facebook应用程序的有效方式吗？ （可能是Facebook）？

Question

1. 您的朋友连接到Facebook并检查“记住我”。
2. Facebook在浏览器上创建了一个cookie。
3. 你的朋友去洗手间。
4. 您从浏览器及其数据中窃取了朋友的Cookie。
5. 你回家后用这些数据制作这些饼干。

假设Facebook 不关联Cookie + IP ，您可以访问Facebook页面。编辑：是的，Facebook不会检查IP。

现在，让我们来看看Facebook Connect。这是关键。

1. 用户通过按下按钮“连接”。
2. Facebook在浏览器上设置一个cookie，您的应用程序后端将读取该cookie以确定用户是否已通过身份验证。然后，将此FB-cookie-id与您系统中的用户相关联。

如果您的系统未检查IP ，那么理论上伪造cookie将允许您访问使用Facebook Connect的应用程序。然后，您可以访问该应用程序，

在进行Facebook连接时是否应该检查IP是否有效以增加安全级别？ 但即使你这样做，也有人评论过IP欺骗。

@everybody说“物理访问”：

是的，我同意物理访问的概念使这个问题变得微不足道。但是，这是应用程序必须注意的漏洞。当然，Facebook个人资料/无用的应用程序并不重要......但如果应用程序是银行系统怎么办？我要说的是，如果花旗银行或美国银行使用“Facebook Connect”（这将是愚蠢的，但让我们假设），那么这种方法将被证明是一种访问其账户的简单方法。

因此，Facebook Connect不应与任何“重要”一起使用。正确？

Answer 1

另一个选择是，在你的朋友去洗手间之后，你可以偷走他的钱包并利用里面的现金贿赂他的女朋友给你他的Facebook密码，从而使他的所有应用程序都使用Facebook Connect易受攻击。

Answer 2

然后你有绕过WiFi网络的问题，这将使“记住我”选项无用

Answer 3

没有。要窃取朋友的cookie，你需要物理访问机器，如果你有存储的东西，那么你很容易受到攻击。 Facebook可以或不应该采取任何措施来防止这种情况发生。

Answer 4

您可以通过很多方式来破解Facebook帐户。 例如，您可以从学习一些基本的黑客方法（其中有数千个）开始，并尝试将它们组合在一起。 其中一些是：

• 键盘记录。
• 拒绝服务（DoS \ DDoS）
• 水坑袭击。
• 假WAP。
• 窃听（被动攻击）
• 网络钓鱼。
• 病毒，特洛伊木马
• ClickJacking Attacks。
• 等

Ofc，互联网上有很多可以帮助你的工具，有些是免费的（大多数都是假的）而有些是付费的（其中很少是假的。例如在荷兰有一个网站，是免费的，根据他们的安全保护，它设法为我破解了3个帐户中的10个帐户。您可以give it a try here。

祝你好运！