Redazione RHC : 30 Marzo 2025 09:39
Nonostante i limiti dell’API ufficiale di Twitter, gli utenti continuano a trovare soluzioni alternative per ottenere informazioni interne sul proprio account e sui profili di altre persone.
Uno di questi metodi è stato oggetto di discussione nella comunità dopo che uno degli utenti condiviso la seguente osservazione: tramite gli strumenti di sviluppo del browser è possibile accedere a molti dati nascosti che non sono disponibili tramite l’API.
Quando apri gli strumenti per sviluppatori e filtri le richieste di rete tramite fetch/XHR, puoi trovare una risposta UserByScreenName che contiene informazioni dettagliate su qualsiasi account pubblico.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Se si copia la richiesta come comando PowerShell, l’autorizzazione corrente e i token CSRF vengono sostituiti automaticamente, consentendo di eseguire le richieste senza ulteriori configurazioni.
La risposta ricevuta include non solo i dati standard del profilo, ma anche metadati più sensibili, come ad esempio se l’utente è considerato un account NSFW, se è soggetto a restrizioni nazionali e persino se ha uno stato di account “protetto“. Quest’ultimo parametro, pur non essendo del tutto trasparente nel significato, può indicare un maggiore livello di privacy o un intervento del moderatore.
Di particolare interesse era l’accesso ai messaggi privati. Utilizzando query di rete simili, puoi ottenere la struttura completa dei tuoi messaggi personali (DM), dai messaggi non letti alle reazioni alle singole risposte e tutte le metainformazioni di accompagnamento. Inoltre, le funzionalità non si limitano solo agli account attivi: si è scoperto che è possibile visualizzare i dati anche di account bloccati o eliminati, se associati alla sessione corrente.
Sebbene le query finora individuate non rivelino vulnerabilità evidenti che rappresentino una minaccia diretta per la sicurezza, la quantità di informazioni disponibili solleva interrogativi. Soprattutto se si considera che molti dei dati non sono documentati e non sono disponibili tramite i canali API ufficiali. Ciò suggerisce che i servizi interni di Twitter trasmettono molte più informazioni di quanto comunemente si creda.
Finora, le funzioni individuate sembrano dimostrare più le peculiarità dell’interazione del client con il backend di Twitter che rappresentare un rischio serio, ma se verranno identificate delle vulnerabilità, l’autore promette di utilizzare il programma ufficiale bug bounty su HackerOne. Fino ad allora, tali scoperte rimangono un esempio interessante di quanto si possa apprendere su una piattaforma senza accesso ufficiale.
RedazioneNel mese di aprile 2025, una valvola idraulica di una diga norvegese è stata forzatamente aperta da remoto per diverse ore, a seguito di un attacco informatico mirato. L’episodio, riportat...
Sul forum underground russo XSS è apparso un post che offre una “Collection di Lead Verificati Italia 2025” con oltre 1 milione di record. Questo tipo di inserzioni evidenzia la con...
Nel cuore dei conflitti contemporanei, accanto ai carri armati, ai droni e alle truppe, si combatte una guerra invisibile, silenziosa e spesso sottovalutata: la cyber war. Non è solo uno scenario...
Le autorità iberiche sono impegnate in un’indagine riguardante un pirata informatico che ha divulgato informazioni sensibili relative a funzionari pubblici e figure politiche di spicco. Tr...
Un insolito esempio di codice dannoso è stato scoperto in un ambiente informatico reale , che per la prima volta ha registrato un tentativo di attacco non ai classici meccanismi di difesa, ma dir...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
