Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 30 Marzo 2025 09:39
Nonostante i limiti dell’API ufficiale di Twitter, gli utenti continuano a trovare soluzioni alternative per ottenere informazioni interne sul proprio account e sui profili di altre persone.
Uno di questi metodi è stato oggetto di discussione nella comunità dopo che uno degli utenti condiviso la seguente osservazione: tramite gli strumenti di sviluppo del browser è possibile accedere a molti dati nascosti che non sono disponibili tramite l’API.
Quando apri gli strumenti per sviluppatori e filtri le richieste di rete tramite fetch/XHR, puoi trovare una risposta UserByScreenName che contiene informazioni dettagliate su qualsiasi account pubblico.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Se si copia la richiesta come comando PowerShell, l’autorizzazione corrente e i token CSRF vengono sostituiti automaticamente, consentendo di eseguire le richieste senza ulteriori configurazioni.
La risposta ricevuta include non solo i dati standard del profilo, ma anche metadati più sensibili, come ad esempio se l’utente è considerato un account NSFW, se è soggetto a restrizioni nazionali e persino se ha uno stato di account “protetto“. Quest’ultimo parametro, pur non essendo del tutto trasparente nel significato, può indicare un maggiore livello di privacy o un intervento del moderatore.
Di particolare interesse era l’accesso ai messaggi privati. Utilizzando query di rete simili, puoi ottenere la struttura completa dei tuoi messaggi personali (DM), dai messaggi non letti alle reazioni alle singole risposte e tutte le metainformazioni di accompagnamento. Inoltre, le funzionalità non si limitano solo agli account attivi: si è scoperto che è possibile visualizzare i dati anche di account bloccati o eliminati, se associati alla sessione corrente.
Sebbene le query finora individuate non rivelino vulnerabilità evidenti che rappresentino una minaccia diretta per la sicurezza, la quantità di informazioni disponibili solleva interrogativi. Soprattutto se si considera che molti dei dati non sono documentati e non sono disponibili tramite i canali API ufficiali. Ciò suggerisce che i servizi interni di Twitter trasmettono molte più informazioni di quanto comunemente si creda.
Finora, le funzioni individuate sembrano dimostrare più le peculiarità dell’interazione del client con il backend di Twitter che rappresentare un rischio serio, ma se verranno identificate delle vulnerabilità, l’autore promette di utilizzare il programma ufficiale bug bounty su HackerOne. Fino ad allora, tali scoperte rimangono un esempio interessante di quanto si possa apprendere su una piattaforma senza accesso ufficiale.
RedazioneDomani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Il 25 febbraio 2025 WindTre ha rilevato un accesso non autorizzato ai sistemi informatici utilizzati dai propri rivenditori. L’intrusione, riconosciuta come un’azione malevola, è st...
Ancora non sono chiari i motivi che hanno causato un grave Blackout in Spagna e Portogallo nelle ultime ore. Vaste aree sono rimaste senza energia elettrica, scatenando un’ondata di speculazion...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
