Vulnerabilidades y fallos de seguridad en Badoo

Badoo... La red social donde todos los canis y chonis del mundo se encuentran en una misma pagina... Donde el 90% de los usuarios solo se meten con el movil porque ni tienen ordenador... (Y así podría seguir)
Bueno, pues esta claro que esta pagina me decepcionó bastante, no voy a volver a explicarlo.
La cuestión es que recientemente me reactivé la cuenta, únicamente con el objetivo de comprobar hasta que punto tenia la red social fallos de seguridad.
A pesar de que Badoo tiene millones de usuarios por todo el mundo, se nota que aun tiene algunos fallos de este tipo, en parte debido a que dado el tipo de usuarios que usan Badoo a nadie le interesaría explotarlos, y a que tampoco tiene la popularidad que tiene por ejemplo Facebook.
No obstante en general es muy muy seguro. Ademas de usar cifrado HTTPS en toda la pagina es imposible por ejemplo visualizar las fotos privadas de una persona sin pedírselo, obtener el perfil de una persona que te aparece en "Encuentros", u obtener el perfil / imagen original de las fotos pixelizadas.

Seguridad de cuenta:
En cuanto a la seguridad de la cuenta, el mayor fallo es permitir el acceso mediante un "secret": una cadena de unicamente 10 caracteres que incluye unicamente numeros y letras mayusculas y minusculas. Este "secret" puede reemplazar a la contraseña totalmente, y puede ser obtenido rapidamente con fuerza bruta.
¿De donde sale este secret? Cuando recibes los emails de Badoo con alguna notificación te aparece un enlace que te hace login automaticamente en Badoo. Asi es, un enlace URL que te hace automaticamente login. Estos enlaces serian de la forma: https://eu1.badoo.com/access.phtml?UID=387680439&secret=xxxxxxxxxx
Donde el UID es el numero de identificacion de usuario unico de cada usuario de Badoo, el cual es el que te aparece al acceder a tu perfil. Ej: mi pagina de perfil es https://badoo.com/0349823157/ (Con un 0 delante).
Como habeis visto es un fallo de seguridad muy grave, dado lo fácil que es acceder por fuerza bruta a una cuenta.

Tambien este UID nos muestra una caracteristica que Badoo nos oculta a los usuarios, que es el momento de creación de una cuenta. En el ejemplo del secret puse la cuenta de Yana, la nueva "mascota" de Badoo, que es la tia que ahora aparece en los videos de la pantalla de inicio como la "chica mas popular de Badoo". La cuestión es que si os fijais, el UID es muy actual, lo que demuestra que esa cuenta se creó practicamente en las mismas fechas que los videos. Esto demuestra que esta cuenta fue creada de forma intencionada, y la popularidad que dicen los de Badoo, se la ganó con los videos que enlazan a su cuenta a todos los usuarios del mundo.

Vulnerabilidades (Glitches) del servidor:
A la hora de configurar tu perfil, la pagina te permite seleccionar los valores que quieras para tu descripcion, atributos, intenciones...
La cuestion es que muchas opciones son cerradas, pero... ¿Que pasa si le envías respuestas al servidor de forma manual?
Y eso es lo que hice, mediante el programa Fiddler del que ya hablé anteriormente pude descubrir que el servidor es muy vulnerable a estas respuestas alteradas. Aqui os pongo varios ejemplos:

Edades de interes: Una vulnerabilidad que afecta plenamente a la funcionalidad de Badoo. En tu perfil debes poner que estas buscando: Chatear, conocer gente, ligar... Y unas edades cuyo rango debe de tener por lo menos 4 años de rango. Ej: "Quiero tener una cita con una chica entre 18 y 22 años" (Ese sería el minimo). Si estas centrad@ unicamente en personas de por ejemplo hasta 20 años, la pagina no te permite configurarlo, ya que eso implicaria que tu perfil apenas pueda aparecer a nadie. Peeeero como no, hay una vulnerabilidad en los servidores que permite configurarlo como quieras enviando la respuesta manualmente. Si veis mi perfil comprobareis que tengo puesto para conocer gente entre 18 y 19 años, una configuración imposible dentro de la pagina, y que ademas afecta a la funcionalidad de la pagina en funciones como "Encuentros".

Autodescripcion: Uno de los campos mas importante de tu perfil es la autodescripcion, un campo de texto de un maximo de 150 caracteres en el que te describes a ti mismo para que lo pueda ver el resto del mundo.
La cuestion es que no puedes escribir mas de 150 caracteres en la pagina, una pena, ¿no? pero... que pasaria si manualmente con Fiddler le envias una descripcion de 5.000 caracteres (por ejemplo). Pues lo que pasa es que el servidor lo recibe... y lo publica! Esto es un fallo muy grave, puesto que hace que paginas como la mia tengan una longitud enorme, y ademas si accedes a esta descripcion desde la app movil, la app hace crash directamente.

Atributos: Si comprobais mi campo de apariencia donde deberia aparecer mi altura y peso, comprobareis que aparece (5'4"). WTF? Normalmente la altura la pone en metros, y entre parentesis apareceria la medida en pulgadas. Los valores se envian al servidor en mm y en la pagina se pueden elegir como 170cm, 171cm... Siempre de 10 en 10mm. ¿Que pasa si se envia por ejemplo 1805mm? Pues lo que habeis visto en mi perfil. El servidor no logra interpretar mi valor de altura en cm y unicamente muestra la conversión a pulgadas entre parentesis.

Seguramente hayan mas fallos, pero como esto no lo leera nadie lo dejo aqui XD.