按照Facebook帮助页面的说明来看，“你可能认识的人”（People You May Know）这项功能可以帮助Facebook用户找到更多相识的朋友，该功能建立起你和对方之间的关系是基于以下因素来进行判断的：

1.你们之间有共同朋友或存在相互朋友关系，这也是建立这种可能认识关系的最根本原因；

2.你们在同一个Facebook群组中，或是在同一张照片中被标记过；

3.另外就是你们通过同一个网络出口（学校、单位）登录过Facebook账户。

Facebook好友列表的隐私设置

默认来说，Facebook用户的好友列表是公开的，当然，Facebook也给这个好友列表设置了三种不同的隐私选项：公开、朋友可见和仅自己可见等自定义设置），具体参考Facebook帮助页面说明。

漏洞发现

这里作者发现的漏洞是这样的：首先，在用户注册阶段，恶意攻击者可以通过先输入目标受害者的手机号码作为注册确认的手机号码，如下：

https://www.facebook.com/friends/requests/?fcref=swpsa

这个链接是“你可能认识的人”URL，或者直接用curl对以下链接请求进行抓包：

curl ‘https://www.facebook.com/gettingstarted/?step=friend_requests' -H ‘authority: www.facebook.com' -H ‘referer: https://www.facebook.com/gettingstarted/' -H ‘cookie: xxxx’ — compressed

这里，Facebook向恶意攻击者推送的“你可能认识的人”相关列表，正是目标受害者的好友列表，如下：

整个过程可在以下PoC视频中观看，视频中作者用目标受害者邮箱为注册人信息，用自己的手机号码作为联系更新信息，最终，这种方式也能同样获得目标受害者好友列表：天空彩

漏洞总结

该漏洞可以被一些恶意用户或攻击者利用，间接判断出目标受害者的社交关系图谱。前提在于，只需要知道目标受害者的注册Facebook时使用的邮箱地址或者手机号码，可以通过社工方式或是前述提到的好友关系建立依据来获得。

漏洞上报进程

2018.10.16  向Facebook进行漏洞初报；

2019.3.20   Facebook奖励我 $10,000 USD；