Inhaltsverzeichnis
发现漏洞
Heim Betrieb und Instandhaltung Sicherheit So analysieren Sie die Quellcode-Leck-Schwachstelle der Facebook Ads-Werbegeschäfts-API-Schnittstelle

So analysieren Sie die Quellcode-Leck-Schwachstelle der Facebook Ads-Werbegeschäfts-API-Schnittstelle

May 11, 2023 pm 05:40 PM
facebook api ads

发现漏洞

一个多月后,我就发现了存在Facebook Ads广告业务系统API中的一个漏洞。存在漏洞的API是一个图片处理接口,它用于Facebook商户账户上传广告图片,上传的图片会储存在一个名为“/adimages”的目录下,并用base64格式编码。所以,我的测试构想是,在这里的机制中,可以向上传图片中注入恶意Payload,经API转换为 Base64 格式后,再被Facebook传入服务器中。

以下为上传图片的POST请求:

POST /v2.10/act_123456789/adimages HTTP/1.1

Host: graph.facebook.com

Bytes=VGhpcyBpcyBtYWxpY2lvdXMgcGF5bG9hZC4=

由于Facebook服务器端不能有效地处理恶意Payload图片,最终其“Image Resizing Tool”图片处理工具返回了一个报错,在某个JSON响应内容的异常消息中,就包括了一些PHP库函数代码,这些代码来自不同的Facebook库文件,可以肯定的是,这应该属于Facebook源代码的一部份。

HTTP/1.1 200 OK{“error”:{“message”:”Invalid parameter”,”type”:”FacebookApiException”,”code”:100,”error_data”:”exception ‘Exception’ with message ‘gen_image_rescale_multi_thrift call to shrinkImageMulti failed with fbalgo exception: 43 (43: : IDAT: invalid distance        too far back)’ in \/var\/www\/flib\/resource\/filesystem\/upload\/upload.php:1393\nStack trace:\n#0 \/var\/www\/flib\/resource\/filesystem\/upload\/upload.php(1662): gen_image_rescale_multi_thrift()\n#1 \/var\/www\/flib\/ads\/admanager\/adupload\/adupload.php(252):        gen_image_rescale_multi()\n#2 \/var\/www\/flib\/ads\/admanager\/adupload\/AdImageUtils.php(195): _gen_adupload_image_resize()\n#3 \/var\/www\/flib\/ads\/entities\/creatives\/photos\/AdproCreativePhotoDownload.php(53): AdImageUtils::genResizeLocalFile()\n#4        \/var\/www\/flib\/platform\/graph\/resources\/adaccount\/adimages\/mutators\/GraphAdAccountAdImagesPost.php(134): AdproCreativePhotoDownload::addLocalFileToCreativeLibrary()\n#5 \/var\/www\/flib\/core\/data_structures\/utils\/Arrays.php(440):        Closure$GraphAdAccountAdImagesPost::genImplementation#3()\n#6 \/var\/www\/flib\/platform\/graph\/resources\/adaccount\/adimages\/mutators\/GraphAdAccountAdImagesPost.php(136): Arrays::genMapWithKey()\n#7 \/var\/www\/flib\/ads\/api\/graph_base\/GraphAdsWriteWithRedirectBase.php(22):        GraphAdAccountAdImagesPost->genImplementation()\n#8 \/var\/www\/flib\/ads\/api\/graph_base\/GraphAdsWriteWithRedirectBase.php(11): GraphAdsWriteWithRedirectBase->genDoCall()\n#9 \/var\/www\/flib\/core\/asio\/gen_utils.php(24): GraphAdsWriteWithRedirectBase->genCall()\n#10        \/var\/www\/flib\/platform\/api\/base\/ApiBaseWithTypedApiData.php(204): genw()\n#11 \/var\/www\/flib\/platform\/api\/base\/ApiBase.php(85): ApiBaseWithTypedApiData->genCallWithApiDataBase()\n#12 \/var\/www\/flib\/platform\/graph\/core\/runner\/GraphApiRunnerBase.php(373):        ApiBase->genMakeCall()\n#13 \/var\/www\/flib\/platform\/graph\/core\/GraphRequestProcessorBase.php(629): GraphApiRunnerBase->genCall()\n#14 \/var\/www\/flib\/platform\/graph\/core\/GraphRequestProcessorBase.php(45): GraphRequestProcessorBase->genExecuteSingleGraphRequestCore()\n#15        \/var\/www\/api\/graph\/server.php(168): GraphRequestProcessorBase->genExecuteSingleGraphRequest()\n#16 \/var\/www\/api\/graph\/server.php(174): gen_api_graph_server()\n#17 \/var\/www\/flib\/core\/asio\/Asio.php(35): gen_api_graph_server_wrapper()\n#18        (): Closure$Asio::enterAsyncEntryPoint()\n#19 \/var\/www\/flib\/core\/asio\/Asio.php(37): HH\\Asio\\join()\n#20 \/var\/www\/api\/graph\/server.php(180): Asio::enterAsyncEntryPoint()\n#21 {main}”,”error_subcode”:1487242,”is_transient”:false,”error_user_title”:”Image        Resize Failed”,”error_user_msg”:”Image Resize Failed:unknown reason”,”fbtrace_id”:”EN\/o9hmqwZz”},”__fb_trace_id__”:”EN\/o9hmqwZz”}

Das obige ist der detaillierte Inhalt vonSo analysieren Sie die Quellcode-Leck-Schwachstelle der Facebook Ads-Werbegeschäfts-API-Schnittstelle. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!

Erklärung dieser Website
Der Inhalt dieses Artikels wird freiwillig von Internetnutzern beigesteuert und das Urheberrecht liegt beim ursprünglichen Autor. Diese Website übernimmt keine entsprechende rechtliche Verantwortung. Wenn Sie Inhalte finden, bei denen der Verdacht eines Plagiats oder einer Rechtsverletzung besteht, wenden Sie sich bitte an admin@php.cn

Heiße KI -Werkzeuge

Undress AI Tool

Undress AI Tool

Ausziehbilder kostenlos

Undresser.AI Undress

Undresser.AI Undress

KI-gestützte App zum Erstellen realistischer Aktfotos

AI Clothes Remover

AI Clothes Remover

Online-KI-Tool zum Entfernen von Kleidung aus Fotos.

Clothoff.io

Clothoff.io

KI-Kleiderentferner

Video Face Swap

Video Face Swap

Tauschen Sie Gesichter in jedem Video mühelos mit unserem völlig kostenlosen KI-Gesichtstausch-Tool aus!

Heiße Werkzeuge

Notepad++7.3.1

Notepad++7.3.1

Einfach zu bedienender und kostenloser Code-Editor

SublimeText3 chinesische Version

SublimeText3 chinesische Version

Chinesische Version, sehr einfach zu bedienen

Senden Sie Studio 13.0.1

Senden Sie Studio 13.0.1

Leistungsstarke integrierte PHP-Entwicklungsumgebung

Dreamweaver CS6

Dreamweaver CS6

Visuelle Webentwicklungstools

SublimeText3 Mac-Version

SublimeText3 Mac-Version

Codebearbeitungssoftware auf Gottesniveau (SublimeText3)

Heiße Themen

PHP-Tutorial
1506
276
Laravel -Integration mit Social Media Login (OAuth) Laravel -Integration mit Social Media Login (OAuth) May 22, 2025 pm 09:27 PM

Die Integration von Social -Media -Anmeldungen in das Laravel -Framework kann durch die Verwendung des Laravelsocialite -Pakets erreicht werden. 1. Installieren Sie das Socialite -Paket: Verwenden Sie CompoSerRequirelaravel/Socialite. 2. Konfigurieren Sie den Dienstanbieter und Alias: Fügen Sie die relevante Konfiguration in config/app.php hinzu. 3. Setzen Sie API -Anmeldeinformationen: Konfigurieren von Social -Media -API -Anmeldeinformationen in .Env und config/dienste.php. 4. Schreiben Sie die Controller -Methode: Hinzufügen von Umleitungs- und Rückrufmethoden, um den Anmeldungsprozess für soziale Medien zu bewältigen. 5. FAQs handhaben: Stellen Sie die Einzigartigkeit der Benutzer, die Datensynchronisation, die Sicherheits- und Fehlerbehandlung sicher. 6. Optimierungspraxis:

Sehen Sie sich die offizielle Seite von NIS Comics online für kostenlose Comics an. Die Free -Eintrags -Website der NIS Comics -Anmeldeseite Sehen Sie sich die offizielle Seite von NIS Comics online für kostenlose Comics an. Die Free -Eintrags -Website der NIS Comics -Anmeldeseite Jun 12, 2025 pm 08:18 PM

Nice Comics, eine immersive Leserfahrungsplattform, die sich der Erstellung von Comicliebhabern widmet, vereint eine große Anzahl hochwertiger Comic-Ressourcen im In- und Ausland. Es ist nicht nur eine Comic -Leseplattform, sondern auch eine Community, die Comic -Künstler und Leser verbindet und die Comic -Kultur teilt. Mit einfachem und intuitivem Schnittstellendesign und leistungsstarken Suchfunktionen können Sie mit NES Comics Ihre Lieblingswerke problemlos finden und ein reibungsloses und komfortables Leseerlebnis genießen. Verabschieden Sie sich von den langen Warten und mühsamen Operationen, betreten Sie sofort die Welt der netten Comics und beginnen Sie Ihre Comic -Reise!

Offizielle korrekte Adresse der Ouyi Exchange App Offizielle korrekte Adresse der Ouyi Exchange App Jun 17, 2025 pm 01:24 PM

Um die offizielle korrekte Adresse der Ouyi Exchange -App zu erhalten, müssen Sie die folgenden drei offiziellen Kanäle durchlaufen: 1. Laden Sie die offizielle Website herunter, besuchen Sie den offiziellen Domain -Namen [adid] Fe9fc289c3ff0af142b6d3bead98a923 [/adid] und laden Sie die entsprechende Systemversion herunter. 2. Folgen Sie dem offiziellen Social -Media -Konto, um die neuesten Download -Informationen zu erhalten. 3.. Wenden Sie sich an den offiziellen Kundendienst, um zu bestätigen. Gleichzeitig sollten Benutzer auf Phishing -Websites aufmerksam sein, die Domainnamen überprüfen, die Antivirensoftware installieren, eine sekundäre Überprüfung aktivieren und die Leckage personenbezogener Daten vermeiden, um die Sicherheit der Kontos zu gewährleisten.

Huobi App Download Huobi Neueste offizielle Website -Adresse Huobi App Download Huobi Neueste offizielle Website -Adresse Jun 24, 2025 pm 06:30 PM

Um die entsprechende Methode gemäß dem Betriebssystem auszuwählen, muss die entsprechende Methode ausgewählt werden. IOS -Benutzer sollten sich über die Apple -ID in Übersee anmelden, um sich im App Store anzumelden, um zu suchen und zu installieren, während Android -Benutzer die APK -Datei über die offizielle Website herunterladen und die Installation von Anwendungen aus unbekannten Quellen ermöglichen. Um die Sicherheit zu gewährleisten, müssen Sie die Methoden zur Identifizierung der Authentizität der offiziellen Website beherrschen: Überprüfen Sie die offizielle Website, überprüfen Sie das HTTPS -Sicherheitszertifikat, befolgen Sie die offiziellen Ankündigungskanäle, vermeiden Sie es, auf unbekannte Links zu klicken und die Quelle des Verifizierungscode zu bestätigen. Bei der Verwendung der App sollten Sie außerdem darauf achten, ein starkes Kennwort festzulegen und die Überprüfung von Zwei-Faktoren zu aktivieren, die Version regelmäßig zu aktualisieren, Transaktionsrisiken zu verstehen, vor Betrug, Backup-Mnemonik und privaten Schlüssel zu achten und den offiziellen Kundendienst zu erhalten, wenn Sie auf Probleme stoßen.

Wie können Sie die Ratenbeschränkung für eine PHP -API implementieren? Wie können Sie die Ratenbeschränkung für eine PHP -API implementieren? Jun 06, 2025 am 12:07 AM

ToimplementRatelimitingInaphpapi, identifizierenClientsviaiporapikey, TrackRequestsusedRedis, Durchsetzungen, andreturn angemessenehttpheader

Was sind CSS Houdini -APIs und wie können Entwickler CSS selbst erweitern? Was sind CSS Houdini -APIs und wie können Entwickler CSS selbst erweitern? Jun 19, 2025 am 12:52 AM

CssShudini ist eine Reihe von APIs, mit denen Entwickler den Stilverarbeitungsfluss des Browsers durch JavaScript direkt manipulieren und erweitern können. 1. Paintworklet steuert die Elementzeichnung; 2. Layoutworklet Custom Layout Logic; 3.. Animationworklet implementiert Hochleistungsanimation; V. 5. Eigenschaften und Werte -Abistrikten benutzerdefinierte Eigenschaften; 6. FontMetricsapi erhält Schriftinformationen. Es ermöglicht Entwicklern, CSS auf beispiellose Weise zu erweitern, Effekte wie Wellenhintergründe zu erzielen und eine gute Leistung und Flexibilität zu haben

So verwenden Sie PHP, um soziale Freigabefunktionen zu erstellen. PHP Sharing Interface Integration Practice So verwenden Sie PHP, um soziale Freigabefunktionen zu erstellen. PHP Sharing Interface Integration Practice Jul 25, 2025 pm 08:51 PM

Die Kernmethode zum Aufbau sozialer Freigabefunktionen in PHP besteht darin, dynamisch Freigabelinks zu generieren, die den Anforderungen jeder Plattform entsprechen. 1. Erhalten Sie zuerst die aktuelle Seite oder die angegebenen URL- und Artikelinformationen. 2. Verwenden Sie Urlencode, um die Parameter zu codieren. 3.. Spleiß und generieren Teilenverbindungen gemäß den Protokollen jeder Plattform; 4. Zeigen Sie Links im vorderen Ende an, damit Benutzer klicken und freigeben können. 5. generieren Sie Dynamik OG -Tags auf der Seite, um die Anzeige der Freigabe inhaltlich zu optimieren. 6. Achten Sie darauf, dass Sie den Benutzereingaben entkommen, um XSS -Angriffe zu verhindern. Diese Methode erfordert keine komplexe Authentifizierung, weist nur geringe Wartungskosten auf und eignet sich für die meisten Anforderungen an den Inhaltsaustausch.

Ouyi (OKX) Richtige Eintrag Neueste Website -Adresse 2025 Ouyi (OKX) Richtige Eintrag Neueste Website -Adresse 2025 Jun 10, 2025 pm 05:21 PM

Um sicher auf die offizielle Website von OKX zuzugreifen, sollten Sie die neueste Website über offizielle Kanäle erhalten und mehrere Sicherheitsmaßnahmen ergreifen. 1. Die erste Wahl besteht darin, URL -Änderungsinformationen in offiziellen sozialen Medien, Foren und E -Mail -Abonnements zu erhalten. 2. Laden Sie die App über den offiziellen App Store herunter, um manuell in die URL einzugeben. A. Vorsicht vor Suchmaschinenwerbung und unbekannten Links und verwenden Sie Browser-Sicherheits-Plug-Ins, um böswillige Websites zu identifizieren. V. 5. Verbesserung des Sicherheitsbewusstseins, achten Sie weiterhin auf die offizielle Dynamik und verhindern Sie Online -Betrug.

See all articles