How To: Ver las fotos de cualquiera en facebook

Definitivamente muchos están empeñados en demostrar que facebook no es una red segura, ya he mostrado un par de casos de personas que han encontrado fallos del tipo XSS, que permiten obtener facilmente la cookie de la victima, aunque bueno, estas vulnerabilidad no son exactamente de facebook, son propiamente de aplicaciones.

En esta ocasión no les mostraré una vulnerabilidad (o para mi no lo es); como todos saben, facebook da la posibilidad de que terceros desarrollen aplicaciones para su red, para esto facebook debe proporcionales una API, pues aprovechandonos un poco de las herramientas de esa API, podemos ver facilmente fotos de cualquier persona, usando una sencilla sentencia SQL.

Nota: Cada persona en el facebook se encuentra identificada con un ID, si no lo sabemos lo que podemos hacer es simplemente buscarla, cuando la encontremos nos apareceran 3 opciones: -Add as friend -Send a message -View friends, parandonos sobre cualquiera de las 3 opciones podremos ver el ID, por ejemplo, sobre add as friend:

http://www.facebook.com/addfriend.php?id=xxxxxxxxxx

En las xxx va el ID de la persona, lo debemos tener muy en cuenta.

Los pasos para ver las fotos son los siguientes:

1. Entramos a: http://developers.facebook.com/tools.php.
2. En el cuadro que nos aparece vamos al menu desplegable y de ahi a “fql.query”.
3. Ahora necesitamos el ID de la persona, de la cual queremos ver las fotos.
4. Abajo del menu desplegable, encontraremos un text box para escribir la sentencia(consulta) a la base de datos. Ahi ponemos:

   SELECT name, link
   FROM album
   WHERE owner=xxxxxxxxxx

5. Luego aparecerá un código en XML, el cual no necesitaremos, lo único que necesitamos es la URL que aparece allí, la cual debemos copiar en la barra de direcciones de su navegador.
   Las direcciones que nos muestran son del estilo:
   http://www.facebook.com/album.php?aid=17614&id=xxxxxxxxxxx
   Debemos simplemente quitarles el amp; y dejarlas así:
   http://www.facebook.com/album.php?aid=17614&id=xxxxxxxxxxx
6. Este paso es el mismo que el anterior, sólo que nos ahorramos el hecho de tener que cquitar el amp;, donde dice Response format (método de llamada) ponemos: Facebook PHP client, nos mostrará una array como este:

   Array
   (
       [0] => Array
           (
               [name] => Nombre del álbum
               [link] => http://www.facebook.com/album.php?aid=xxxxx&id=xxxxxxxxxx
           )
   )

   El [link] corresponde exactamente a la URL que debemos pegar en nuestro navegador para visualizar el álbum.

Hasta donde he leído funciona bastante bien, y debe hacerlo, ya que no es una vulnerabilidad, sólo es aprovecharse de los recursos que nos brinda facebook, tampoco abusen.

He mejorado un poco la consulta, agregando el nombre del album, si quieren leer más sobre FQL.

Actualización: Estuve probando por un rato y funciona, pero no en todos los casos, si la persona en cuestión tiene una buena seguridad, sus albumes no podrán ser vistos.

Ver Más: Hack-IT