3月9日消息，据外电报道，一名印度安全研究员向社交网络Facebook报告了他最新发现的一个简单但却非常严重的安全漏洞，Facebook公司确认之后立即修复了这个漏洞，并给他发放了1.5万美元的奖励。
这名安全研究员名叫阿南德-普拉卡什（Anand Prakash）。他向Facebook公司报告称，该社交网络的密码设置存在安全缺陷，黑客可以轻而易举地登录用户的账户。Facebook立即修复了这个漏洞，并通过其“捉虫赏金计划”奖励给了他1.5万美元。
普拉卡什在周一发布的一篇博文中称，这个漏洞可以让他越过用户直接登录其Facebook账号。他可以访问到用户账号中的所有信息，包括消息、照片、视频以及财务信息。
从2011年起，Facebook开始推出“捉虫赏金计划”，奖励向该公司报告安全漏洞的安全研究员、黑客和其他人士。Facebook并不是唯一一家这样做的公司。随着网络犯罪活动愈演愈烈，危害越来越大，谷歌和微软等一批科技公司也相继推出了类似的计划。
普拉卡什在其博文中解释说，在某些版本的Facebook中安全协议缺失，从而可以让黑客在合法用户毫不知情的情况下重新设置他们的账户密码。
在Facebook网站上，当你忘记登录密码而无法登录的时候，你可以使用该网站的密码重置功能来恢复登录。你可以输入你的手机号码、电子邮箱地址、用户名或真实姓名来确认你的账户。然后，Facebook就会给你发送一个六位数字的代码，你输入这个代码就可以重新设置密码。
一些黑客往往会向Facebook请求重置某个账户的密码，然后通过运行相关的程序来猜测Facebook可能会发出的六位数字代码，而不会等待从Facebook接收这个代码。Facebook主网的安全设置可以防止黑客这样投机取巧。在代码输入错误10到12次之后，该网站就会封住这个账户。但是，在Facebook的测试页面上如beta.facebook.com和mbasic.beta.facebook.com上，情况却发生了变化。普拉卡什称，Facebook主网上的反暴力破解攻击的安全措施在其他版本的网站上并不存在，因而给了黑客可趁之机。
普拉卡什尝试用暴力破解攻击的方法来攻击自己的账户，结果成功为自己的账户设置了新的密码，并访问到了账户中存储的各种信息。
在2月22日，普拉卡什向Facebook公司报告了这个安全漏洞。由于这个漏洞很严重，而且很多网络攻击者的技能足以利用这个漏洞，Facebook马上测试、确认和修复了这个漏洞。该公司还给普拉卡什提供了捉虫赏金以资鼓励。
本文转自d1net（转载）