للمرة الخامسة .. شاب من مصر يكتشف ثغرة بالفيس بوك وينال إشادة الموقع العالمي

[اللـورد]

محمد عبد الباسط النوبى
المصدر : جريدة اليوم السابع

نجح محمد عبد الباسط النوبى 25 سنة، من مركز إسنا بمحافظة الأقصر ـ مبرمج حر ـ فى اكتشاف ثغرة بموقع التواصل الاجتماعى العالمى فيس بوك تتيح له تعديل منشورات أى صفحة شخصية على الموقع العالمى.

وتم إدراج النوبى فى قائمة الشرف الخاصة بالخبراء الأمنيين ذوى القبعات البيضاء فى فيسبوك لعامى 2013 و،2014 على التوالى نتيجة لاكتشافه 5 ثغرات خطيرة فى الموقع العالمى فيس بوك، والذى قام بمكافأته مالياً بإجمالى 7000 دولار فى المرات الخمس، بما يعادل 49 ألف جنيه مصرى؛ بخلاف التقارير الأمنية والثغرات الأخرى التى أبلغ عنها مؤخراً لكنه لم يحصل على رد بشأنها بعد من إدارة موقع فيس بوك، اكتشف أيضا بعض الثغرات فى مواقع أخرى عالمية مثل eBay - Paypal - Amazon - Freelancer - oDesk - Adobe Behance - Truecaller - Souq - Udemy - Alibaba وجميعها قيد التحقيق حتى الآن.

وأكد محمد عبد الباسط أن آخر الثغرات التى اكتشفها وتمت مكافأته عليها بـمبلغ 3500 دولار دفعة واحدة هذا الأسبوع، أنه استطاع أن يصل لإمكانية تعديل أى منشور نصى على أى صفحة فى موقع التواصل الاجتماعى فيس بوك حتى أنه كان يستطيع استخدام هذه الثغرة فى تعديل منشورات على صفحة مارك زوكربيرج (صاحب ومؤسس الفيس بوك) أو أى صفحة على موقع التواصل الاجتماعى بكل سهولة، مشددا على أنه لا يستخدم الثغرات المكتشفة لمصالح شخصية أو بيعها وإنما يبلغ عنها إدارة الموقع لإصلاح هذا الخلل.

يشار إلى الموقع العالمى فيس بوك دائما ما يكافئ من يبلغ عن ثغرات خطيرة كهذه مادياً .

وتخرج النوبى فى كلية السياحة والفنادق جامعة المنيا عام 2009، وهو شغوف بالتقنية ومهتم بمجال الأمن المعلوماتى والحماية، مشهور على الإنترنت بالاسم الحركى "SymbianSyMoh" هوايته الأساسية هى البرمجة وشبكات الحواسيب منذ عام 1999 ؛ ويعمل بالعديد من المؤسسات كخبير أمنى وتقنى وعلى رأسها صعيدى جيكس (ملتقى رواد الأعمال والتقنيين بصعيد مصر) وله بعض الأعمال التطوعية منها المشاركة فى تعريب موقع التواصل الاجتماعى Twitter – ويعمل حالياً المدير التقنى ومدير الموارد البشرية فى مجتمع جوجل للأعمال بصعيد مصر والمشرف العام على ترجمة اللغة العربية فى تطبيقFoursquare الشهير.
ملخص الثغرات فى موقع فيس بوك والمكافآت:

الثغرة الأولى:
الاسم: Following via Url Manipulation
تاريخ الاكتشاف: 22-11-2013
تاريخ التأكيد والمكافأه: 27-11-2013
الوصف: ثغرة تكمن فى نظام المتابعه Following System تقدر من خلال التلاعب فى الروابط انك تظهر اى حساب على فيسبوك كأنه يتابعك بالفعل.
المكافأه: 500 دولار + اضافة اسمى فى قائمة الخبراء الأمنيين فى فيسبوك لعام 2013.


الثغرة الثانية
الاسم: Linkshim Links Protection System Bypass


تاريخ الاكتشاف: 24-12-2013
تاريخ التأكيد والسد والمكافأه: 27-12-2013
الوصف: ثغرة تكمن فى نظام الحماية الخاص بحماية المستخدمين من الروابط التى تحتوى على برمجيات خبيثة او مواقع قد تضر بالحساب أو قد تقوم بمهمة النشر التلقائى، قمت بتخطى نظام الحماية ونشر أى روابط حتى ولو كانت ممنوعة.
المكافأة: 1500 دولار.

الثغرة الثالثة
الاسم: **** CSRF
تاريخ الاكتشاف: 30-12-2014
تاريخ التأكيد والسد والمكافأة: 24-1-2014
الوصف: لم يتم سدها حتى الان فلا استطيع البوح عن التفاصيل.
المكافأه: 500 دولار + اضافة اسمى فى قائمة الخبراء الأمنيين فى فيسبوك لعام 2014.

الثغرة الرابعة
الاسم: Edit other Accounts Posts without being seen edited
تاريخ الاكتشاف: 29-12-2013
تاريخ التأكيد والسد والمكافأه: تم السد بعد إرسال التقرير بـ 4 ساعات نظراً لخطورتها، أما المكافأة كانت فى تاريخ 3-3-2014.
الوصف: ثغرة خطيرة تكمن فى نظام تعديل المنشورات Edit Posts والذى اعتمده فيسبوك مؤخراً ليقوم كل مستخدم بتعديل المنشور الخاص به حتى بعد اعتماده، فكانت الثغرة هى أن تقوم بالتعديل على منشورات الآخرين والذى هو خطر جداً جداً بالإضافة أيضا لا يظهر على الـ Post المعدل عند الشخص أنه تم تعديله من قبل.
المكافأة: 3500 دولار

الثغرة الخامسة
الاسم: Add a Photo to a Status post after it has been posted without being seen edited
تاريخ الاكتشاف: 29-12-2013
تاريخ التأكيد والسد والمكافأة: 5-3-2014
الوصف: ثغرة تشبه الثغرة رقم 4 ولكن التعديل يكون على المنشور Post الخاص بالمستخدم نفسه وليس منشورات الاخرين، تمكن الثغرة صاحب الحساب من تعديل الـ Post الخاص به.
واضافة صورة له حتى بعد نشرة وايضا لا يظهر او يبدو على المنشور انه قد تم تعديله ليعلم كل مستخدم قام بالتعليق بأن صاحب البوست قد قام بتعديل المنشور لينتبهوا مما قد كتب أو ما قد تم تغييره وبالتالى باستخدام الثغرة لا يرى المستخدمون الآخرون ذلك، وبناء عليه من الممكن أن يتم خداعهم بالتلاعب بالمحتوى حتى بعد تعليقهم عليه.
المكافأة: 1000 دولار.

إجمالى المكافآت: 7 آلاف دولار وإضافة اسمه فى قائمة فيسبوك للخبراء الأمنيين ذوى القبعات البيضاء لعامى 2013 و2014 على التوالى.

[العاشق الذى لم يتب]

رائع الانتقاء
يدوم التميز والحضور
وجزاك الله خيرا
تحياتى وودى