«А ВК взломать можешь?» - Интернет-безопасность [Статья первая]
Всем привет! Данная статья посвящена моим 8 подписчикам (Намек думаю поняли), сегодня я бы хотел рассказать вам о на мой взгляд не совершенстве защиты API ВКонтакте которое позволяет получить практически полный контроль над вашим аккаунтом.
Предисловие
Текст я пишу очень доступным языком для человеков далеких от безопасности и веб разработки, посему МегаСуперХацкеров и ДаЯПрограммист'ов эта статья может повернуть в профессиональный шок, по этому любезно даю ссылку на главную страницу пикабу.
Я думаю многие из вас хоть раз пользовались например альтернативными клиентами ВКонтакте, а знали ли вы что разработчики этих приложений один раз получив ваш API ключ доступа к аккаунту могут полностью контролировать ваш аккаунт (Читать переписки, писать и удалять сообщения, ставить лайки и многое другое) о чем вы даже не узнаете?
Как это происходит?
Все очень просто, у ВКонтакте есть API [Что это такое?] для Standalone-приложений которое позволяет один раз получив API ключ для вашего аккаунта - иметь 24/7 доступ к вашему аккаунту и самое страшное что вы об этом ни как не узнаете.
Как мне защитится от этого?
Если бы от этого можно было легко защитится - я бы не писал этот пост. Проблема в том что подтвердить авторизацию может любое приложение на компьютере, на телефоне (тот же не официальный клиент ВКонтакте) или плагин для браузера - тем самым устанавливая любой плагин, программу или клиент для смарфона - вы подвергаете себя опасности того что например всю вашу переписку кто-то читает. И даже если вы выйдете из аккаунта и удалите приложение которое сохранило ваш API ключ - вы остаетесь подвержены той же опасности что и после установки этого ПО.
Но тем не менее есть способ проверить какие приложения имеют доступ к вашему аккаунту.
На странице настроек ВКонтакте (https://vk.com/settings?act=apps) есть список приложений имеющий доступ к API работы с вашим аккаунтом:
Подобные приложения (Имеющие доступ к вашему аккаунту круглосуточно) могут быть опасными (Все зависит от честности разработчика), по этому советую удалять то чем вы не пользуетесь (Хотя скрипту полностью "слить" все ваши переписки займет секунд 5).
Предупредив друга я попросил установить его плагин для браузера который незаметно для него авторизовался в приложении и выслал мне его API ключ (тем самым я получил доступ к его диалогам)
Что я считаю ВКонтакте не хватает
Я думаю что пользователям надо дать возможность установить возможность дополнительного подтверждения авторизации в Standalone-приложениях, присылать пользователю извещение по почте о том что была авторизация в подобном приложении а так же ввести упрощенное логирование API запросов приложений (Хотя бы дату последнего обращения в списке приложений). Но как обычно это у нас не баг - а фича 🤗
Назвать выше написанное уязвимостью, багами или чем-то подобным нельзя, с таким же успехом человек может подарить доступ к аккаунту установив амиго-браузер или написав кому-то свой пароль. Моя цель была просто донести до вас то что мир тлен надо внимательно относится к своему аккаунту и периодически менять свой пароль и удалять не используемые приложения.
P. S.: Если хотите больше подобных статей (Интернет безопасность, программирование, жизненные истории), жду вас в подписчиках 🤔
один раз получив API ключ для вашего аккаунта - иметь 24/7 доступ к вашему аккаунту
@Coderast, Вот тут ты не прав. Сейчас token (тот самый ключик) меняется автоматически раз в 2-3 суток, и его можно самому поменять, просто поменяв пароль, либо нажать "Завершить сессию на всех устройствах". Таким образом, поменяв token, злоумышленник больше не сможет зайти на Ваш аккаунт. До тех пор, пока опять его не получит.
Автор, раньше token не менялся, сейчас все по-другому. Стоит это упомянуть
главное что с одноклассниками все хорошо. ставь класс если ты доволен!
Пока что в шоке только граммарнаци )))
Такс))) Когда пост (не комментарий) наберет 1000 плюсов или 500 подписчиков (Уже почти половина набрана) я начинаю писать софтину для демонстрации как это все работает и выкладываю новым постом (с открытым исходным кодом). Да я очень корыстен, но думаю это честно 😅
Хочу еще раз напомнить что цель статьи только информирование, ничего большего.
а как можно понять, какие приложеньки официальные а какие нет?вот это, например, потенциально опасно или оно системное какое то?
Ну вот получишь ты API и что ты с ним делать будешь? Нельзя же войти на аккаунт зная только API
Кстати, VK API что-то на днях перестал меня пускать. Ещё не разбирался, но уже настораживает.
Security, пишет, error. И что ему только не нравилось.
мир тлен? мы и так знали
Я тут в закладки в Вк защел и увидел кучу фоток,которые я вижу в первые.Можешь подсказать как забрать свои лайки назад?
@Coderast Можешь ответить на пару вопросов ? За потраченное время заплачу . Только скажи . Можешь свой вк дать , или мне напиши vk.com/id386744841
Вопрос: у меня стоит авторизация по паролю, который генерируется на телефоне (то есть не SMS всякие там), и без этого пароля никто пройти авторизацию не может. Мой акк все равно продолжает быть уязвимым (пользуюсь одним сторонним клиентом ВК на телефоне)?
Расскажи пожалуйста вот что: какие сервисы помогают понять, что интернет знает о тебе, о твоих данных, и как попробовать их удалить? Про гугл-аккаунты все ясно, а другие сервисы? Понять на каких сайтах ты регался к примеру, и т.д.Капец как актуально.
извиняюсь за некропостинг)
получается если он установил написанный тобой плагин, ему еще надо будет нажать кнопку подтверждения доступа этого плагина к данным?
Шел 2018, а второй статьи нет. А тема то интересная, и "уязвимость" реальная только вот сделать, что бы токен сам скопировался и отправился тебе автоматически не каждый второй сможет, а уговорить человека скинуть текст под которым жирным шрифтом написано: "Никому не отправляй а то аккаунт уведут" задачка не вот прям легче, вот как раз ворошил просторы форумов в поисках кого-нибудь кто делал так "что бы токен сам скопировался и отправился тебе автоматически" - перед тем как самому запариваться, решил проверить может и не нужно ничего придумывать, а все уже за меня сделано.
Надеюсь вторую часть таки сделаешь, ну или хоть не ее именно, но на эту же тему пост, в конце концов эта приблуда все еще работает.
я вроде все понял, но се равно сложнаа
Суть всей статьи. Куда логин с паролем ввел, туда их и слил.
Автор! Ждем статью про опасности установленных дополнений в браузере.
К примеру блокировщики рекламы. (Для тех кто не знает как они работают)
Блин, Пикабу, че ты удалил зачеркнутый текст в 1 месте и все курсивы из статьи?
вот у меня вопрос, если можно..
у подруги был акк в вк, его украли.. В один прекрасный день она не смогла войти, фото поменялось, другие сообщения пошли не от ее имени. Самое странное, что она этим акком не пользовалась, ни одной записи, 1 друг (сестра) и все. Зачем его тырить было?
Если ты параноик, или качаешь сомнительные плагины/расширения:Легче сделать привязку к телефону, чтобы каждый раз при входе тебе смс с кодом приходило для авторизации, а если не с твоего компа попытались авторизоваться, ты об этом узнаешь.Вроде давно уже есть такая функция у Вконтакте.
Двухэтапная аутентификация, официальный клиент "Вконтакте" и не ебёт! Учебника русского языка тебе не хватает, пёс!
Ну ты дырками играешься, ну как школьник.
Как самостоятельно искать и проверять фото и видео
Спасибо уважаемым коллегам из factcheck.kz (tg) за составление подборки.
1. Сбор информации — видео
2. Геопоиск в Твиттере — видео
3. Надёжные инструменты для проверки фото — RevEye, Forensically Мануал 1 Мануал 2 Скринкаст работы инструментов
4. Проверка видео — inVid
5. Геолокация фото и видео (работа с картами и спутниками) — Мануал
Фильтруйте попадающую в ваш мозг информацию. Всем удачи.
Краткий сказ о клиенте, который не смог
Начнем с самого начала. Дело было в мое студенчество, я был молод и мне были нужны деньги, а тут клиент подвернулся, с желанием возыметь для своего бизнеса лендинг страничку в интернете с прайс листом. Через знакомых вышли на меня, и я предложил им сделать(да простят меня разработчики) САЙТ! Ну как сайт, качаем WordPress, создаем базу, заливаем туда демо образец сайта с конструктор-плагином.
В общем, сайт готов, клиент заплатил мне баснословных 5к русских шекелей, я скинул доступ к хостингу, расписал подробную инструкцию, как обновлять CMS(и что это такое) и плагины, мы подключили бэкапы. Первую версию сайта и базу данных со всеми доступами я скинул архивом на почту с припиской капсом "ХРАНИТЬ В СЕЙФЕ И НИ В КОЕМ СЛУЧАЕ НЕ УДАЛЯТЬ".
Прошло полтора года.
Пишет клиент, с вестью о том, что с "сайтом что то не так".
Во первых, на почту пришло оповещение(1 фото в скрине) о том, что в плагине ThemeGrill обнаружена уязвимость, которая позволяет выполнять любые SQL инъекции, получить SSH и т.д. Пришло оно 3+ недели назад, а сообщили мне о нем, когда им дропнули базу, каталоги и сделали редирект на другой домен. Бекапы, которые делались и хранились на хостинге, были настроены на срок хранения максимум 14 дней. То есть сайт лежал минимум 14 дней, а дальше бекапилась пустая база.
Далее в переписке мы пришли к тому, что у них должен был быть бекап, который я им кидал по почте. Сами они мне его скинуть не могут, но у них должно где то быть письмо на почте, и переслать они его не могут ведь у них лапки, просят зайти и поискать.
Далее идет краткое пояснение клиенту, что если ему надо узнать, кто взламывал сайт - то это не ко мне, а в далекое пешее писать заявление в полицию, пусть там все забьют хер разбирается отдел К.
Честно скажу, не помню, что значила моя фраза "От хостинга пришло бы письмо". Возможно там была подключена какая то простая пинговалка доступности узла аля uptimеrobot или я имел ввиду падения хоста в целом.
Далее следует череда бессмысленных сообщений из разряда "почему ты это не предвидел" и всякое такое. Затем мы плавно вплываем в тему "востоновить":
Ну и объяснение, что данных в самой базе тоже нет
Вот эти ваши айти - это все от диавола,- сказал клиент и начал переваривать весь этот технический бред про бекапы, плагины, взлом жопы и так далее, в своем котелке. Естественно, у такой прекрасной истории должен быть не менее прекрасный конец! Конец, в виде гениального умозаключения! Прошу любить и жаловать, официальное заявление от заказчика:
Вы поняли, да? Сделал сайт, значит на века привязан к его обслуживанию за бесплатно и еще водочки нам принеси. Но выяснять что либо - это не в интересах заказчика, и поэтому было принято решение кинуть меня в ЧС.
Вывод? Заказывайте сайты у нормальных разработчиков и не откладывайте апдейты. Ах, ну да, мониторинг, бэкапы, и еще раз бэкапы на n+1 носителе.
Пост мой, клиент мой, да простят меня разработчики "сайт" мой, тег моё
Эксперты выпустили подробный технический отчет о блокировке Tor в России
Количество российских пользователей, использующих мосты после начала блокировки Tor, выросло более чем в 2 раза.
По информации «Роскомсвободы», эксперты организации OONI Explorer выпустили подробный технический отчет о блокировке Tor в России, которая началась в декабре.
Согласно исследованию OONI 65 российских автономных сетей (AS) с помощью сетевых сенсоров (probe), локальных устройств и инструментов:
• блокировки (аномалии при проверке связности с узлами Tor) наблюдаются в 50 AS, которые принадлежат «Ростелекому», Tele2, МТС, «Билайн», «Мегафону», «Акадо», «Уфанет», «Netbynet» и другим компаниям;• в одной и той же сети у некоторых пользователей доступ может быть заблокирован, а у других пользователей все нормально, пример такой сети — AS16345 (VEON);• блокировки могут ненадолго отключаться, например, так было 8 декабря;• блокировка работает по IP-адресам, причем в некоторых сетях блокируются известные мосты obfs4;• в реестре Роскомнадзора заблокированных сайтов IP-адресов сети Tor нет (кроме torproject.org ), поэтому видимо блокировка доступа к сети Tor технически устроена не так, как блокируются сайты из реестра запрещенных сайтов;• на стороне российских провайдеров замечены попытки блокировать встроенный в Tor браузер транспорт для обхода блокировок Snowflake, разработчики Tor Browser пообещали доработать этот механизм в следующем обновлении, чтобы избежать подобной блокировки;• основная рекомендация для пользователей — использовать мосты.
В настоящее время некоторые провайдеры и мобильные операторы продолжают блокировать сеть Tor в России — у них нет доступа к IP-адресам известных нод, некоторых мостов и транспорту snowflake, а также заблокирован сайт torproject.org .
Проверить факт блокировки просто — при открытии в браузере (лучше с помощью мобильного интернета) сайта 152.199.19.160 должно выдаваться «404 not found», если эта ошибка не возникает, то в сети идет блокировка Tor.
Со 2 декабря некоторые крупные провайдеры и мобильные операторы начали блокировать Tor в России. У них перестали быть доступны все или почти все IP-адреса известных нод, в том числе некоторых мостов. Специалисты Globalcheck подтвердили, что блокировка Tor выполняется с помощью оборудования ТСПУ (технические средства противодействия угрозам) — это «черные ящики» от РКН, которые установлены у операторов связи, но доступа к этим устройствам сами провайдеры не имеют.