http://www.freebuf.com/news/12444.html
2013-09-11
前些日子里，Facebook拒绝了向Khalil Shreatech付赏金。Khalil Shreatech何许人也？他是一名安全研究员，曾经用他发现的这个bug向Facebook的CEO mark Zuckerberg反馈过。之前Facebook的安全部门已经拒绝了他的多次反馈。我想大家都有所耳闻了。 看看下面这位仁兄：
Ehraz Ahmed, 一名独立的安全研究专家，他声称他向fb的安全部门反馈过一个严重的安全漏洞。该漏洞可以删除Facebook上的任何账号。 但Facebook拒绝给出漏因洞赏金，因为他用他朋友的账号测试了一次。Ehras Ahmed在他的博客上说道：“我给Facebook反馈了这个漏洞，但我对他们的态度不是很满意。在等了很长时间以后，他们竟然拒绝了我的漏洞提交。还说我用这个漏洞删除了真实用户的账号而不是一个测试账号。现在漏洞已经被他们修复了。”
漏洞详情 其中参数selectd_users[0]和__user参数是可以利用的漏洞点。 黑客曾经声明过可以用网站漏洞删除Facebookceo的账号。但这次，这个漏洞被Facebook安全部门修复了。然而就在发稿的4天前，Facebook还修复了另外一个恶意删除用户相片的漏洞。 难道说那些漏洞狩猎者应该停止向厂商反馈漏洞转向出售0day到地下黑市？ 注意：我们正在尝试联系Facebook的安全团队以获得更多的相关信息，后期会持续报道。
更新： 据fb官方声明，Facebook的交流经理Michael kirklan给计算机世界的Blog里提到过Ahmed，Ahmed被他称为“骗子”。 博客里是这样说道的：
———————————
这不是一个真正的漏洞。我们已经审核了代码，校验我们找到一切可以利用代码的地方，发现都没有结果。我们还校验了日志，试图找出所谓的"测试账号"，这些账号曾出现在演示视频里。这些账号曾经被手动失效过。这些如果都是真的，肯定在日志里有记录。

这就是一个简单的骗术。演示视频里的html源代码清清楚楚的写着“没有用户被删除"。我们已经校验了目标账号和日志信息。这些账号被手动失效过。

任何一个人都可以访问: http://www.facebook.com/whitehat/account/ 并且校验传递给查询的selectd_users[0]和__user参数。我们已经审计了我们的代码没有找到可以利用的地方。事实上，最近的一次代码提交是在今年4月完成的。当时就已经确保没有任何安全隐患了。。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！