Facebook Like Button HACKED!

Měl jsem za to, že každý uživatel Facebooku může pomocí tlačítka "Líbí se mi to" hlasovat vždy jen jednou. Při opakovaném pokusu o hlasování, že pak může pouze vzít svůj předchozí hlas zpět "Už se mi to nelíbí". Domníval jsem se, že je kontrolováno, kolik unikátních profilů na Facebooku, pro konkrétní URI hlasovalo. Ve skutečnosti tomu tak ale není a zmanipulovat počet uživatelů, kterým se daný obsah líbí, je stejně jednoduché, jako manipulace s jinými metodami hlasování.

Ve skutečnosti se totiž u tlačítka "Líbí se mi to" nezobrazuje počet unikátních profilů, které si daný obsah nasdílely, ale celkový počet všech sdílení na zdech uživatelů. V praxi proto stačí, abyste si jeden obsah jednoduše nasdíleli na zeď třeba tisíckrát v jednom jediném profilu. Každé jednotlivé sdílení se pak započítá jako další uživatel, kterému se daný obsah líbí.

Již jsme si řekli, že pomocí tlačítka "Líbí se mi to" nebude několikanásobné vložení možné, protože jeho druhé stisknutí vede k odmítnutí předchozího hlasování. Pro vložení odkazu na zeď proto využijeme volbu "odkaz", nebo jinou metodu opětovného nasdílení, přímo v účtu na Facebooku. Zde už nám nic nebrání v opakovaném vkládání odkazu na zeď, přičemž každé toto vložení se promítne i v počtu uživatelů, kterým se sdílený obsah líbí.

Je jasné, že pokud bychom postupovali manuálně, asi bychom zešedivěli dříve, než by se nám podařilo přihodit prvních sto hlasů. Když si však odchytíte POST požadavek, který je odesílán na server při každém novém nasdílení, zjistíte, že je jeho obsah pokaždé stejný. Nic tedy nebrání zkopírování obsahu tohoto requestu a jeho opakovanému odesílání pomocí skriptu.

Ukázku útoku v praxi demonstruje následující video: