Joni2Back | Life + Technology

Queridos usuarios de la aplicacion, lamentamos informarles que no se va a volver a publicar ninguna nueva version de FBackUP para ver fotos de otras personas en Facebook.
El motivo es simple, las vulnerabilidades han sido parcheadas, y el nuevo metodo que estabamos usando nos consumia muchos recursos y no tenemos una gran infraestructura para dicho proyecto

En un mes nuestra db se cargo con ’4 millonesde registros’ (en una sola tabla que almacenaba userID(bigInt) y albumID(bigInt) ).

De paso quiero comentar como fue que funcionaron las 2 versiones:

La primera version funcionaba pasando como token MD5 (siempre numerico) al public link del album, de esta forma podiamos obtener todos los links permanentes de cada foto subida por el usuario como si este mismo la hubiera compartido con alguna persona externa a la red social.
Tambien hicimos uso del fallo de seguridad en la API 2007-2009 para la obtencion de fotos en la seccion developers con la famosa FQL donde podiamos hacer algo como

$albums = $facebook->api_client->photos_getAlbums($userID, null);

Este metodo nos traia un objeto con todos los id de albumes de dicho usuario, y cada album un array con sus id de fotos.

Para resumir, hicimos un aprobechamiento de estas 2 vulnerabilidades (la primera era desconocida hasta este mismo momento y la segunda tuvo cierta fama). Donde finalmente con un buen front-end / diseño, solo era cuestion de buscar a la persona por su nombre y asi obtener todas sus fotos.

La segunda version era mas del estilo social engineering, la cual funcionaba mas o menos de esta forma:

Quiero espiar a X, el tiene un amigo en comun conmigo que es Y
Posibilidades varias, cuales?

Metodo1: Busco todos los albumes de mis amigos en comun con Y, recorro foto por foto y chequeo si en alguna de ellas esta presente la ID de la victima (etiquetada)

Metodo2: Busco todos los albumes en los que aparecen etiquetados mis amigos en comun con Y, recorro foto por foto y chequeo si en alguna de ellas esta presente la ID de la victima (etiquetada)

Metodo3: Recorro amigos en comun con X y me fijo todas las fotos en que fue etiquetado cada amigo, para ver si alguno de los albumes pertenece a X

Metodo4: Busco si X etiqueto a Y en una foto, obtengo el id de dicho album y obtengo las fotos.

Metodo5: Busco si Y comento una foto de X, esto me da acceso al album y asi a sus fotos.

Todos estos metodos funcionaban a la perfeccion y con muy buenos resultados si la persona tenia varios amigos en comun con nosotros. El problema es que los recorridos de cada metodo llevaban bastante tiempo, y mucho mas si habia varios albumes con muchas fotos!

Aqui unas screenshots de la aplicacion para quienes no llegaron a conocerla

Agradecemos a todos los usuarios que usaron nuestra aplicacion y esperamos que puedan seguirnos en nuevos proyectos como por ejemplo ScanTwit.

Saludos @joni2back y @juansanzone