Füügt Beschreiwung op Instagram Posts am Numm vun anere Benotzer - 6500 $

Salut Leit, et ass erëm JubaBaghdad, haut wëll ech mat Iech en interessante Feeler deelen deen ech op Instagram fonnt hunn, déi mir fäeg sinn d'Beschreiwung un aner Benotzer Posts ze addéieren, sidd Dir prett !! :)

D'Geschicht vun fannen

Am 6-August-2018 koum eng Iddi an de Kapp, ech wollt zwee-Faktor Authentifikatioun (2fa) vun Instagram vun der Facebook Säit ëmgoën, well et gëtt eng Optioun op der Facebook Säit déi Iech erlaabt Iech Instagram ze managen, fir méi Detailer fannt Dir dëst Link.

Ech sinn op meng Facebook Test Säit gewiesselt an hunn op Instagram Tab geklickt an probéiert mam alen Instagram Konto ze Login, awer ech konnt net aloggen well ech mäi Passwuert vergiesst wéi ëmmer :)

Dir kënnt Ären Instagram Konto vun Ärer Facebook Säit managen

Duerno hunn ech op mengem Browser Instagram opgemaach fir ze kucken ob mäi Kont nach existéiert oder net an ech hunn dat gesinn:

Dëst ass wéi Instagram ausgesäit wann Dir et vum Webbrowser opmaacht

Wann Dir déi uewe genannte Biller kuckt, wäert Dir vläicht keng interessant Saach mierken, awer fir mech war et wierklech interessant !! Firwat !! Wëll ech schonn Instagram Web App getest. virdrun an ech hunn dës Gewunnecht déi Optiounen a Feature memoriséieren sou datt ech séier all nei Feature bemierke kann, Kuckt nach eng Kéier d'Bild uewen an Dir gesitt datt et eng interessant Optioun heescht IGTV.

Wat ass IGTV:

IGTV, ass eng nei Feature fir laangformal, vertikal Video vun Äre Liiblings Instagram Creatoren ze kucken, fir méi Detailer fannt Dir dëse Link.

Ech liesen vill iwwer dës Feature vum Instagram Info Center, an hunn decidéiert et ze testen :)

Also hunn ech en IGTV Video erstallt, nodeems ech en erstallt hunn, klickt ech op d'Ännerungsoptioun an huet d'Ufro mat Burpsuite ofgefaangen fir ze kucken wéi eng Parameter bannent dëser Feature waren an ech hunn dat gesinn:

POST / Medien / 1887820989027383407 / Ännerung /
caption = test & publish_mode = igtv & title = test

OK loosst eis déi uewendriwwer Ufro analyséieren a kucke wat mir an eisen Hänn hunn:

1- Medien ID = 1887820989027383407 ===> ass d'ID vu mengem IGTV Video, ech hunn iwwer Medien ID gesicht a gemierkt datt Instagram op all Post (Foto, Video an IGTV Video) mat Medien ID bezitt an ech kann all Medien ID kréien fir aner Benotzer posts just duerch hir Posts ze besichen an de Quellcode ze kucken:

Dir kënnt d'Medien ID vun all Post aus dem Quellcode kréien

2- Eng aner Manéier fir Medien ID ze kréien, andeems Dir just de User Post besicht, Hit wéi an ofgefaangen der Ufro mat Burpsuite (ech hunn et a mengem PoC Video benotzt).

3- d'Parameteren (Iwwerschrëft & Titel)

wann Dir iergendeng Foto oder Video erstellt an Instagram d'Web-App freet Iech d'Beschreiwung op dës Foto oder Video ze setzen (et ass fakultativ, Dir kënnt et eidel loossen wéi Millioune Benotzer dat maachen :)), An IGTV bezitt Iwwerschrëft och op d'Beschreiwung.

Cool, mir hunn all d'Informatioun déi mir wëllen, wat duerno !!

Wann Dir déi uewe genannte Bemierkung gemierkt hutt, hu mir Medien ID, also als e Bug Hunters natierlech wäerte mir probéieren den Instagram Server ze trickéieren an dës Medien ID op eng aner User Media ID z'änneren an ze gesinn, Kënne mir de System trickéieren a Beschreiwung op aner User Posts addéieren am Numm vun hinnen !! ??

Teststuf

wärend ech dëst op mengem aneren Testkonto testen, hunn ech ënner Saache festgestallt:

  • Ech kann Beschreiwunge fir aner Benotzer Posts addéieren (andeems ech meng Medien ID duerch hir Medien ID vun hirem Post ersat hunn), wa se keng Beschreiwung fir hir Posts hunn.
  • Et funktionnéiert an all Zort Posts wéi Fotoen, Videoen an IGTV Videoen.
  • Et funktionnéiert nëmme fir ëffentlech Konten.
  • Dat komeschst Saach, d'Äntwert huet mer en Interne Server Fehler mat engem Fehlermeldung "Oops ass e Feeler geschitt", awer amplaz de Feeler funktionnéiert wéi e Charme, gesitt Dir dat a mengem PoC Video hei drënner.

Firwat dëse Feeler sou geféierlech ass

  • Vill Benotzer (Millioune vu Konten) op Instagram setzen hire Profil fir d'Ëffentlechkeet un.
  • Wa mir op all ëffentleche Kont sichen, kënne mir op d'mannst ee Post fannen deen keng Beschreiwung huet, déi de Bug mécht a bal Millioune Konten.
  • Wann dëse Käfer an engem schlechten Hänn war (Schwaarzt Hutt), kann hien op déi meescht verfollegen_Instagram_accounts zielen dëse Link.
  • Déi meescht Instagram Benotzer abegraff Celebritéiten sinn ufälleg fir dëse Feeler, well se fréier Posts gemaach hunn ouni Beschreiwung ze addéieren, zum Beispill:

Mark zuckerberg ===> 4,6 Milliounen Followers ==> kuckt säi Post

Selena Gomez ===> 140 Milliounen Verfolger ===> gesinn hire Post

Ariana Grande ====> 125 Millioune Verfolleger ==> kucke säi Post

Beyoncé =====> 117 Millioune Followers ====> kuckt säi Post

De Kim Kardashian ===> 115 Millioune Followers ==> kuckt säi Post

Lionel Messi:) ====> 97 Millioune Followers ===> kuckt säi Post

D'Lëscht ass sou laang :), also Imagine High Käfer wéi dëst an béise Hänn, et kéint zu engem grousse Medienhype féieren andeems se Promi als Beispill zielen oder grouss Problemer tëscht risege Firmen wéi Apple a säi Konkurrent Samsung schafen :) a sou weider.

Ech hunn dëse Käfer direkt beim Facebook Security Team gemellt an si hunn et nëmmen an engem Dag fixéiert, de Fix war sou séier wéinst der Gravitéit vu Schwieregkeete, si hunn mech och eng fantastesch Bounty belount 6500 $

Ech soen Facebook Sécherheets Team fir dës fantastesch Bounty.

Och wëll ech mäi Frënd Kassem Bazzoun Merci fir seng enorm Ënnerstëtzung an hëllefen mech mat dësem Feeler. Merci eng Millioun Bros. :)

Timeline: August. 06, 2018 - Ufanksbericht August. 14, 2018 - Rapport Triagéiert August. 15, 2018 - Feeler fixéiert August. 15, 2018 - Fix bestätegt Oktober. 10, 2018–6500 $ Bounty ausgezeechent

PoC Video:

Uschlëss:

  • Et hänkt net nëmmen vun der Äntwert of, heiansdo gëtt et e Feeler, awer amplaz Äre Feeler funktionnéiert, hunn ech geléiert datt wann ech e Video virun e puer Méint vu mengem Frënd Abdellah Yaala gesinn huet säi Video op der Minute 1:22 gesinn, also musst Dir kontrolléieren wat Dir vun der Web App testt. ze.
  • Probéiert Ären Ziel vun Zäit zu Zäit ze iwwerpréiwen an ze kontrolléieren ob et eng nei Optioun oder Feature gëtt (wann eng nei Feature do ass en neie Feeler).
  • Probéiert Är Ziloptiounen ze memoriséieren, et wäert Iech all nei Optiounen séier identifizéieren sou wéi ech gemaach hunn :).

Merci

Sarmad Hassan (JubaBaghdad)