Utilicé edición de la comunidad Netsparker y traté de encontrar una vulnerabilidad en mi sitio personal. Entonces pensé en probar con Facebook. No mostraba una sola página web también porque normalmente muestra enlaces dentro de la página web, toda la estructura del sitio, pero aquí no.
¿Por qué? ¿Cuál es la razón?
Aparte de la configuración de privacidad del usuario, Facebook no inhibe a las arañas. Mis exploraciones muestran que ni siquiera están usando un Firewall de aplicaciones web para bloquear solicitudes. La carga para limpiar cada solicitud HTTP del sitio web más popular sería una tarea masiva. El problema es que su escáner no está equipado para interactuar con un cliente mayormente de JavaScript que se comunica con un backend REST. Netsparker tampoco puede detectar XSS basado en DOM , que es más común en facebook .
Si no ha iniciado sesión en Facebook, la única página que obtendrá es la página de inicio de sesión / registro.
Es probable que también estén ejecutando un IDS / IPS que detecta y bloquea los análisis de vulnerabilidad. (Aunque recuerdo vagamente algo sobre Facebook que ofrece recompensas por las vulnerabilidades encontradas en su sitio web, todo lo que un escáner gratuito podría encontrar ya se habrá encontrado y solucionado).
La exploración indiscriminada de vulnerabilidades de sitios web de terceros sin su permiso no es una buena idea. Es algo descortés y tiene el potencial de meterte en problemas. El tipo de problema 3 am-FBI-raid-and-20-years-in-prison .
He discutido con desarrolladores anteriores del portal de Facebook sobre este mismo tema, y de hecho bloquean el rastreo de sus dominios y aplicaciones, pero esto es generalmente caso por caso.
A menudo, los captchas y otros mecanismos de desaceleración se emplean para evitar que los robots, rastreadores y rastreadores desvíen su contenido. Muchas veces esto es más debido a su IP de origen, especialmente si se trata de un proxy cerrado / abierto conocido, un nodo Tor, en la lista negra de FATF, u otra característica distintiva relevante para sus operaciones.
Realmente es mejor no meterse con Facebook o sitios grandes similares sin permiso porque muchas personas curiosas en el pasado han sido abofeteadas con demandas muy desagradables y / o oleadas de justicia penal.
Lea otras preguntas en las etiquetas sql-injection known-vulnerabilities vulnerability-scanners