


So analysieren Sie die Quellcode-Leck-Schwachstelle der Facebook Ads-Werbegeschäfts-API-Schnittstelle
发现漏洞
一个多月后,我就发现了存在Facebook Ads广告业务系统API中的一个漏洞。存在漏洞的API是一个图片处理接口,它用于Facebook商户账户上传广告图片,上传的图片会储存在一个名为“/adimages”的目录下,并用base64格式编码。所以,我的测试构想是,在这里的机制中,可以向上传图片中注入恶意Payload,经API转换为 Base64 格式后,再被Facebook传入服务器中。
以下为上传图片的POST请求:
POST /v2.10/act_123456789/adimages HTTP/1.1
Host: graph.facebook.com
Bytes=VGhpcyBpcyBtYWxpY2lvdXMgcGF5bG9hZC4=
由于Facebook服务器端不能有效地处理恶意Payload图片,最终其“Image Resizing Tool”图片处理工具返回了一个报错,在某个JSON响应内容的异常消息中,就包括了一些PHP库函数代码,这些代码来自不同的Facebook库文件,可以肯定的是,这应该属于Facebook源代码的一部份。
HTTP/1.1 200 OK{“error”:{“message”:”Invalid parameter”,”type”:”FacebookApiException”,”code”:100,”error_data”:”exception ‘Exception’ with message ‘gen_image_rescale_multi_thrift call to shrinkImageMulti failed with fbalgo exception: 43 (43: : IDAT: invalid distance too far back)’ in \/var\/www\/flib\/resource\/filesystem\/upload\/upload.php:1393\nStack trace:\n#0 \/var\/www\/flib\/resource\/filesystem\/upload\/upload.php(1662): gen_image_rescale_multi_thrift()\n#1 \/var\/www\/flib\/ads\/admanager\/adupload\/adupload.php(252): gen_image_rescale_multi()\n#2 \/var\/www\/flib\/ads\/admanager\/adupload\/AdImageUtils.php(195): _gen_adupload_image_resize()\n#3 \/var\/www\/flib\/ads\/entities\/creatives\/photos\/AdproCreativePhotoDownload.php(53): AdImageUtils::genResizeLocalFile()\n#4 \/var\/www\/flib\/platform\/graph\/resources\/adaccount\/adimages\/mutators\/GraphAdAccountAdImagesPost.php(134): AdproCreativePhotoDownload::addLocalFileToCreativeLibrary()\n#5 \/var\/www\/flib\/core\/data_structures\/utils\/Arrays.php(440): Closure$GraphAdAccountAdImagesPost::genImplementation#3()\n#6 \/var\/www\/flib\/platform\/graph\/resources\/adaccount\/adimages\/mutators\/GraphAdAccountAdImagesPost.php(136): Arrays::genMapWithKey()\n#7 \/var\/www\/flib\/ads\/api\/graph_base\/GraphAdsWriteWithRedirectBase.php(22): GraphAdAccountAdImagesPost->genImplementation()\n#8 \/var\/www\/flib\/ads\/api\/graph_base\/GraphAdsWriteWithRedirectBase.php(11): GraphAdsWriteWithRedirectBase->genDoCall()\n#9 \/var\/www\/flib\/core\/asio\/gen_utils.php(24): GraphAdsWriteWithRedirectBase->genCall()\n#10 \/var\/www\/flib\/platform\/api\/base\/ApiBaseWithTypedApiData.php(204): genw()\n#11 \/var\/www\/flib\/platform\/api\/base\/ApiBase.php(85): ApiBaseWithTypedApiData->genCallWithApiDataBase()\n#12 \/var\/www\/flib\/platform\/graph\/core\/runner\/GraphApiRunnerBase.php(373): ApiBase->genMakeCall()\n#13 \/var\/www\/flib\/platform\/graph\/core\/GraphRequestProcessorBase.php(629): GraphApiRunnerBase->genCall()\n#14 \/var\/www\/flib\/platform\/graph\/core\/GraphRequestProcessorBase.php(45): GraphRequestProcessorBase->genExecuteSingleGraphRequestCore()\n#15 \/var\/www\/api\/graph\/server.php(168): GraphRequestProcessorBase->genExecuteSingleGraphRequest()\n#16 \/var\/www\/api\/graph\/server.php(174): gen_api_graph_server()\n#17 \/var\/www\/flib\/core\/asio\/Asio.php(35): gen_api_graph_server_wrapper()\n#18 (): Closure$Asio::enterAsyncEntryPoint()\n#19 \/var\/www\/flib\/core\/asio\/Asio.php(37): HH\\Asio\\join()\n#20 \/var\/www\/api\/graph\/server.php(180): Asio::enterAsyncEntryPoint()\n#21 {main}”,”error_subcode”:1487242,”is_transient”:false,”error_user_title”:”Image Resize Failed”,”error_user_msg”:”Image Resize Failed:unknown reason”,”fbtrace_id”:”EN\/o9hmqwZz”},”__fb_trace_id__”:”EN\/o9hmqwZz”}
Das obige ist der detaillierte Inhalt vonSo analysieren Sie die Quellcode-Leck-Schwachstelle der Facebook Ads-Werbegeschäfts-API-Schnittstelle. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!

Heiße KI -Werkzeuge

Undress AI Tool
Ausziehbilder kostenlos

Undresser.AI Undress
KI-gestützte App zum Erstellen realistischer Aktfotos

AI Clothes Remover
Online-KI-Tool zum Entfernen von Kleidung aus Fotos.

Clothoff.io
KI-Kleiderentferner

Video Face Swap
Tauschen Sie Gesichter in jedem Video mühelos mit unserem völlig kostenlosen KI-Gesichtstausch-Tool aus!

Heißer Artikel

Heiße Werkzeuge

Notepad++7.3.1
Einfach zu bedienender und kostenloser Code-Editor

SublimeText3 chinesische Version
Chinesische Version, sehr einfach zu bedienen

Senden Sie Studio 13.0.1
Leistungsstarke integrierte PHP-Entwicklungsumgebung

Dreamweaver CS6
Visuelle Webentwicklungstools

SublimeText3 Mac-Version
Codebearbeitungssoftware auf Gottesniveau (SublimeText3)

Die Integration von Social -Media -Anmeldungen in das Laravel -Framework kann durch die Verwendung des Laravelsocialite -Pakets erreicht werden. 1. Installieren Sie das Socialite -Paket: Verwenden Sie CompoSerRequirelaravel/Socialite. 2. Konfigurieren Sie den Dienstanbieter und Alias: Fügen Sie die relevante Konfiguration in config/app.php hinzu. 3. Setzen Sie API -Anmeldeinformationen: Konfigurieren von Social -Media -API -Anmeldeinformationen in .Env und config/dienste.php. 4. Schreiben Sie die Controller -Methode: Hinzufügen von Umleitungs- und Rückrufmethoden, um den Anmeldungsprozess für soziale Medien zu bewältigen. 5. FAQs handhaben: Stellen Sie die Einzigartigkeit der Benutzer, die Datensynchronisation, die Sicherheits- und Fehlerbehandlung sicher. 6. Optimierungspraxis:

Nice Comics, eine immersive Leserfahrungsplattform, die sich der Erstellung von Comicliebhabern widmet, vereint eine große Anzahl hochwertiger Comic-Ressourcen im In- und Ausland. Es ist nicht nur eine Comic -Leseplattform, sondern auch eine Community, die Comic -Künstler und Leser verbindet und die Comic -Kultur teilt. Mit einfachem und intuitivem Schnittstellendesign und leistungsstarken Suchfunktionen können Sie mit NES Comics Ihre Lieblingswerke problemlos finden und ein reibungsloses und komfortables Leseerlebnis genießen. Verabschieden Sie sich von den langen Warten und mühsamen Operationen, betreten Sie sofort die Welt der netten Comics und beginnen Sie Ihre Comic -Reise!

Um die offizielle korrekte Adresse der Ouyi Exchange -App zu erhalten, müssen Sie die folgenden drei offiziellen Kanäle durchlaufen: 1. Laden Sie die offizielle Website herunter, besuchen Sie den offiziellen Domain -Namen [adid] Fe9fc289c3ff0af142b6d3bead98a923 [/adid] und laden Sie die entsprechende Systemversion herunter. 2. Folgen Sie dem offiziellen Social -Media -Konto, um die neuesten Download -Informationen zu erhalten. 3.. Wenden Sie sich an den offiziellen Kundendienst, um zu bestätigen. Gleichzeitig sollten Benutzer auf Phishing -Websites aufmerksam sein, die Domainnamen überprüfen, die Antivirensoftware installieren, eine sekundäre Überprüfung aktivieren und die Leckage personenbezogener Daten vermeiden, um die Sicherheit der Kontos zu gewährleisten.

Um die entsprechende Methode gemäß dem Betriebssystem auszuwählen, muss die entsprechende Methode ausgewählt werden. IOS -Benutzer sollten sich über die Apple -ID in Übersee anmelden, um sich im App Store anzumelden, um zu suchen und zu installieren, während Android -Benutzer die APK -Datei über die offizielle Website herunterladen und die Installation von Anwendungen aus unbekannten Quellen ermöglichen. Um die Sicherheit zu gewährleisten, müssen Sie die Methoden zur Identifizierung der Authentizität der offiziellen Website beherrschen: Überprüfen Sie die offizielle Website, überprüfen Sie das HTTPS -Sicherheitszertifikat, befolgen Sie die offiziellen Ankündigungskanäle, vermeiden Sie es, auf unbekannte Links zu klicken und die Quelle des Verifizierungscode zu bestätigen. Bei der Verwendung der App sollten Sie außerdem darauf achten, ein starkes Kennwort festzulegen und die Überprüfung von Zwei-Faktoren zu aktivieren, die Version regelmäßig zu aktualisieren, Transaktionsrisiken zu verstehen, vor Betrug, Backup-Mnemonik und privaten Schlüssel zu achten und den offiziellen Kundendienst zu erhalten, wenn Sie auf Probleme stoßen.

ToimplementRatelimitingInaphpapi, identifizierenClientsviaiporapikey, TrackRequestsusedRedis, Durchsetzungen, andreturn angemessenehttpheader

CssShudini ist eine Reihe von APIs, mit denen Entwickler den Stilverarbeitungsfluss des Browsers durch JavaScript direkt manipulieren und erweitern können. 1. Paintworklet steuert die Elementzeichnung; 2. Layoutworklet Custom Layout Logic; 3.. Animationworklet implementiert Hochleistungsanimation; V. 5. Eigenschaften und Werte -Abistrikten benutzerdefinierte Eigenschaften; 6. FontMetricsapi erhält Schriftinformationen. Es ermöglicht Entwicklern, CSS auf beispiellose Weise zu erweitern, Effekte wie Wellenhintergründe zu erzielen und eine gute Leistung und Flexibilität zu haben

Die Kernmethode zum Aufbau sozialer Freigabefunktionen in PHP besteht darin, dynamisch Freigabelinks zu generieren, die den Anforderungen jeder Plattform entsprechen. 1. Erhalten Sie zuerst die aktuelle Seite oder die angegebenen URL- und Artikelinformationen. 2. Verwenden Sie Urlencode, um die Parameter zu codieren. 3.. Spleiß und generieren Teilenverbindungen gemäß den Protokollen jeder Plattform; 4. Zeigen Sie Links im vorderen Ende an, damit Benutzer klicken und freigeben können. 5. generieren Sie Dynamik OG -Tags auf der Seite, um die Anzeige der Freigabe inhaltlich zu optimieren. 6. Achten Sie darauf, dass Sie den Benutzereingaben entkommen, um XSS -Angriffe zu verhindern. Diese Methode erfordert keine komplexe Authentifizierung, weist nur geringe Wartungskosten auf und eignet sich für die meisten Anforderungen an den Inhaltsaustausch.

Um sicher auf die offizielle Website von OKX zuzugreifen, sollten Sie die neueste Website über offizielle Kanäle erhalten und mehrere Sicherheitsmaßnahmen ergreifen. 1. Die erste Wahl besteht darin, URL -Änderungsinformationen in offiziellen sozialen Medien, Foren und E -Mail -Abonnements zu erhalten. 2. Laden Sie die App über den offiziellen App Store herunter, um manuell in die URL einzugeben. A. Vorsicht vor Suchmaschinenwerbung und unbekannten Links und verwenden Sie Browser-Sicherheits-Plug-Ins, um böswillige Websites zu identifizieren. V. 5. Verbesserung des Sicherheitsbewusstseins, achten Sie weiterhin auf die offizielle Dynamik und verhindern Sie Online -Betrug.
