ปรับรายชื่อเพื่อนเป็น Private แต่ก็เห็นอยู่ดี!!! (Facebook secret feature)

SHA999
2 min readJun 14, 2019

ขออนุญาตเกริ่นนำนิดนึงนะครับ เมื่อประมาณไม่กี่วันที่ผ่านมา (ช่วง 06/2562) เราได้ค้นพบอะไรบางอย่าง ที่เราคิดว่าน่าจะเป็นช่องโหว่ของ Facebook ก็เลยทำการส่งเรื่องไปให้ Facebook เพื่อทำการตรวจสอบ และนี่คือสิ่งที่เกิดขึ้น

เขาบอกไม่ใช่ช่องโหว่

OK!!!ในเมื่อเขาบอกว่านี่ไม่ใช่ช่องโหว่ และ Report นี้ได้ทำการ Closed เป็นที่เรียบร้อยแล้ว พวกเราก็เลยจะทำการเปิดเผยฟีเจอร์ลับของ Facebook กันครับ

ฟีเจอร์ลับนี้คืออะไร ทำอะไรได้บ้าง?

ตอนนี้ขอให้ท่านนึกภาพตอนที่กำลังส่อง Facebook ใครซักคนอยู่ ท่านอยากรู้ว่าเขามีใครเป็นเพื่อนอยู่บ้าง เพื่อนำไปใช้ในการทำมิดีมิร้ายอะไรซักอย่าง ท่านก็เลย Add เพื่อนไป ต่อให้เขารับเพื่อนแต่ก็ไม่เห็นอะไรอยู่ดีเพราะเขาตั้งค่าไว้ไม่ให้คนอื่นเห็นยกเว้นตัวเอง

ตอนนี้เราอยากเห็นเพื่อนเขา แต่เขาดันปิดไม่ให้เห็น!!! ไม่เป็นไรครับ เรามีวิธีแก้ เราสามารถใช้ฟีเจอร์ลับนี้ในการรู้เพื่อนของเขาได้ครับ

สิ่งที่ต้องมี

  • เบอร์โทรศัพท์ของเป้าหมายที่เขาเชื่อมกับ Facebook (ต้องยังไม่ยืนยันนะ)
  • เป็น Facebook ที่ใช้มาได้พักนึงแล้ว ไม่ใช่พึ่งสร้างใหม่

ขั้นตอนการใช้ฟีเจอร์ลับ

หลังจากเป้าหมายมีลักษณะเป็นไปตามหัวข้อข้างบนแล้ว เรามาลองทำกันดูดีกว่า

ภาพด้านล่างนี้เป้าหมายทำการตั้งค่าไม่ให้คนอื่นเห็นรายชื่อเพื่อน ยกเว้นตัวเอง

จากนั้นให้เราทำการสร้าง account ใหม่โดยใช้เบอร์เป้าหมาย

ทาง Facebook จะส่ง SMS เพื่อมายืนยัน OTP แต่เราไม่สนใจ ให้เราทำการกดชื่อ Facebook เราไปเลยครับ

ให้ลองสังเกตุตรง “คนที่คุณอาจจะรู้จัก” จะแสดงรายชื่อเพื่อนของเจ้าของมามากมายก่ายกองเลยครับ

สรุป

ทุกท่านลองไปทำตามกันได้เลยครับ ว่า account ของท่านจะสามารถตกเป็นเป้าหมายได้รึเปล่า ณ ตอนนี้ Facebook ก็ไม่ได้แก้อะไร(14/06/2562) ไม่รู้ว่าอนาคตจะไปแอบแก้ไหม

ย้ำนะครับบบบบ!!! Facebook บอกว่านี่ไม่ใช่ช่องโหว่ ทางทีม Security ของ Facebook เป็นคนยืนยันเองเลย (แม้บางท่านอาจจะคิดว่าใช่ก็ตาม)

ผู้ค้นพบฟีเจอร์ลับ: SnoopBees Team

--

--

SHA999

Lead Pentester @Cloudsec Asia | GPEN | OSCP | eCXD | Python for Pentesters