{"id":2175,"url":"\/distributions\/2175\/click?bit=1&hash=803b6e1bcbd9dfc4ba9456fda887a878c80d24df8d3a575913b14876e18923a5","title":"TJ \u0437\u0430\u043a\u0440\u043e\u0435\u0442\u0441\u044f 10 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u044f \u2014\u00a0\u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u0430\u043d\u043e\u043d\u0441 \u0441 \u0434\u0435\u0442\u0430\u043b\u044f\u043c\u0438","buttonText":"\u0427\u0438\u0442\u0430\u0442\u044c","imageUuid":"d1d355d8-93a3-5140-aeae-14b03046b760","isPaidAndBannersEnabled":false}

Я протестировал государственный мессенджер из Крыма и взломал аккаунт

Разработчики «Диалог М» заявляли, что сервис безопасен.

Переписка с участием взломанного аккаунта

Обновлено: Не следует путать «Диалог М» и корпоративный госмессенджер «Диалог» (ООО «Диалог»), который не имеет отношения к разработке «Крымтехнологий». Как пояснили TJ представители «Диалога», они сделали опровержение из-за «обилия неподтверждённой информации, которую распространяет ряд интернет-СМИ» и «журналистов, пренебрегающих проверкой фактов». Офисы «Диалога» располагаются в Москве и Петербурге. Этот мессенджер используют в госорганах — ведомствах и краевых администрациях.

15 апреля госкомпания «Крымтехнологии» начала открыто тестировать собственный мессенджер «Диалог М». Разработчики напрямую связали ранний запуск своего «быстрого и безопасного» сервиса с решением о блокировке Telegram. В Крыму назвали «Диалог М» возможной альтернативой «подобным приложениям иностранных компаний» и отметили: «В плане конференции он будет даже получше, чем Telegram».

Я протестировал браузерную версию «Диалог М» и убедился, что он не так безопасен, как заявляли авторы. Любой аккаунт можно украсть за 3-4 минуты.

Заходим в форму авторизации и вбиваем произвольный номер.

После этого форма предлагает ввести код, пришедший на указанный номер. Если попытаться отправить код, то видно, что он проверяется по адресу https://im.krtech.ru/auth/3556666666666/xxxx.

Оказывается, что этот URL можно «дёргать» как угодно часто, поэтому пишем простенькую функцию, которая подбирает четырёхзначный код.

Через короткое время код находится.

В моём случае код оказался 5817. Но, судя по всему, сам код одноразовый, так как повторный вызов https://im.krtech.ru/auth/3556666666666/5817 выдаёт ошибку, а, значит, залогиниться по нему уже не получится.

Однако в ответ на запрос вернулся токен, который, может быть, остался годен. Чтобы проверить его, идём в JS-код, и ищем, откуда происходит запрос на адрес https://im.krtech.ru/auth/...

Строка быстро отыскивается.

Ставим брейкпоинт и снова нажимаем на кнопку авторизации. Прослеживаем, как код исполняется дальше и попадаем в место, в котором обрабатывается ответ от сервера. Здесь подменяем ответ с ошибкой на токен, который до этого получили перебором.

Запускаем код дальше и оказываемся авторизованными. Можно даже написать кому-нибудь.

Всё то же самое можно сделать с номером уже зарегистрированного пользователя и, таким образом, «угнать» аккаунт.

Автор угнал аккаунт редактора TJ в «Диалог М» в качестве эксперимента и с его согласия, а также с надеждой на то, что разработчики исправятся. Лучше так не делать. Неправомерный доступ к компьютерной информации преследуется по закону.

0
135 комментариев
Написать комментарий...
Газетный чайник
Лучше так не делать

я согласен, лучше не делать и не выпускать такой мессенджер

Ответить
Развернуть ветку
Невыносимый пистолет

Хуже всего, что номер в форме нельзя вставить из буфера, только вбивать руками

Ответить
Развернуть ветку
1 комментарий
Ручной Артем
Ответить
Развернуть ветку
Женский томагавк_два

За вами уже выехали

Ответить
Развернуть ветку
Недостаточный корабль

Комментарий недоступен

Ответить
Развернуть ветку
Удивленный динозавр

Ты неправильный Сергей Звезда. Правильный должен пуши ночью слать, а не деньги просить

Ответить
Развернуть ветку
Публичный бокал

то есть у меня одна функция? может, я ещё и симфонию не могу написать?

Ответить
Развернуть ветку
11 комментариев
Законодательный файл

Комментарий недоступен

Ответить
Развернуть ветку
Трудящийся цветок

Скажи спасибо что не ККВПдОКС (Крымская компьютерная веб-программа для отправки коротких сообщений)

Ответить
Развернуть ветку
14 комментариев
Известный файл

Название Диалог М отдает какой то тоталитарщиной. Типа Циклон Б и далее по списку.

Ответить
Развернуть ветку
Развитый танк88

ФМПОПДКГ "Доверие"

Ответить
Развернуть ветку
1 комментарий
Территориальный Влад

звучит, будто для регистрации нужно ввести не только номер телефона, но и паспортные данные, СНИЛС и ИНН

Ответить
Развернуть ветку
Учащийся бинокль

Хмм. У меня тётя недавно из США в гости в Питер приезжала. Была изумлена после 37 лет отсутствия обилию англоязычных названий компаний. Спрашивала, почему люди не называют фирмы по-русски.

При этом сама говорит на дикой смеси русского, английского и идиш.

Ответить
Развернуть ветку
Животный завод

Комментарий недоступен

Ответить
Развернуть ветку
Передовой пёс_анон

Посаны, а я вот думаю, что если поверх какого-нибудь ТамТам прикрутить PGP и выпустить модифицированный клиент, назвав самым безопасным не заблокированным в России мессенджером? :)

Или тогда наложат ограничение на использование PGP в России просто, и будут уже юзеров отлавливать и сажать?

Ответить
Развернуть ветку
Приличный Слава
юзеров отлавливать и сажать?

На бутылку
Хм. Я наконец решил пошутить про бутылку, ведь про нее шутят все, и мне захотелось понять, в чем удовольствие. Никакого удовольствия нет, лёгкий туман в голове и чувство стыда, я не понимаю зачем остальные этим занимаются
Ребят, если вы вдруг решили по примеру старших пацанов пошутить про бутылку - не надо! Нет в этом ничего "крутого", потом жалеть будете

Ответить
Развернуть ветку
5 комментариев
Начальный Даниль
прикрутить PGP

PGP это polzovatel - grazhdanin nachalnik - polzovatel ?

Ответить
Развернуть ветку
Конечный историк
прикрутить PGP

После чего ФСБ обратится к тебе с просьбой добавить в клиент функцию передачи закрытых ключей на сервера фсб.

Ответить
Развернуть ветку
4 комментария
Уникальный турник

Уже есть Миранда (:

Ответить
Развернуть ветку
1 комментарий
Необходимый каякер

Комментарий недоступен

Ответить
Развернуть ветку
Телефонный танк88

В Диалог-М прикрути pgp

Ответить
Развернуть ветку
Хитрый Валера

Комментарий недоступен

Ответить
Развернуть ветку
Простой американец

Учусь на технической образовательной программе. Решения задач проверяет тестирующая система. Задача для языка C начинается со слов «Вашему процессу предоставляются права суперпользователя». Что делает рандомный студент? Правильно, вызывает rm -rf /* системным вызовом прямо из процесса. Тестирующая система падает (не знаю, по каким причинам, тестировщик не был засунут в контейнер), день не работает, к вечеру восстановили из бэкапа.

Что происходит со студентом? Его забанили в тестирующей системе (то есть он не имеет физической возможности сдавать домашние задания) до выяснения обстоятельств, а с самого начала пригрозили статьями УК, чтобы громко не кричал.

Не знаю, какая мораль, придумайте сами

Ответить
Развернуть ветку
4 комментария
Низкий единорожек88

Артем наш сотрудник из цеха Ильи и он угнал свой аккаунт тестовый, есть тут юристы, катит это на статью или нет?

Ответить
Развернуть ветку
25 комментариев
Молчаливый корабль

В УК РСФСР? Навряд ли

Ответить
Развернуть ветку
5 комментариев
Геологический фитиль

Зловредные хацкеры живут, конечно, по законам

Ответить
Развернуть ветку
2 комментария
Смертный будильник

Не «за», а «на». Мы под ней сейчас общаемся

Ответить
Развернуть ветку
Конечный историк

Такие вещи сперва нужно сообщать разработчикам. И только после исправления уязвимости публиковать статью. А так, только на уголовку нахайповали.

Ответить
Развернуть ветку
Передовой пёс_анон

Вообще да, но этим проектом вряд ли кто-то всерьез пользуется сейчас, во-первых. То есть, для живого проекта это было бы важно, а тут я не думаю, что из-за этого произойдет что-то страшное.
Во-вторых, если он свой же аккаунт взломал, то уголовку ему будет сложно предъявить.

Ответить
Развернуть ветку
5 комментариев
Непрерывный паркур

Чувствую себя Гагариным! Мне первому написали с первого взломанного аккаунта в Диалог-М

Ответить
Развернуть ветку
Неизвестный бинокль

Может, это потому, что ты единственный пользователь Диалог-М на ТЖ?

Ответить
Развернуть ветку
1 комментарий
Дневной пёс_анон

Комментарий недоступен

Ответить
Развернуть ветку
2 комментария
Приличный Слава

А тамтамом кто нибудь пользовался? Как там?

Ответить
Развернуть ветку
Животный завод

Комментарий недоступен

Ответить
Развернуть ветку
Золотой химик

Хотел щас установить ТамТам, решил почитать отзывы...

Ответить
Развернуть ветку
5 комментариев
Целевой лолипоп

Разработчики в комментариях Google Play обещают добавить классы для оценки фото.

Ответить
Развернуть ветку
Непрерывный паркур

Нас на******(обманули), расходимся.

Ответить
Развернуть ветку
Невыносимый пистолет

После того как я логинился туда-сюда в одной вкладке он глючить начал

Ответить
Развернуть ветку
2 комментария
Публичный бокал

эээ, с чего ты взял? Артём поменял имя моего аккаунта, когда получил к нему доступ. Я поменял обратно

Ответить
Развернуть ветку
Вечерний парфюмер

Ну, теперь точно можно закапывать

Ответить
Развернуть ветку
Дополнительный инструмент
Разработчики «Диалог М» заявляли, что сервис безопасен.

ну они же не говорили для кого

Ответить
Развернуть ветку
Математический Даниль

Почти все комментарии про уголовную ответственность.
Получается, взломы аккаунтов, которые когда-либо происходили в ВК или любой другой социальной сети, тоже должны преследоваться по закону?
+ Не так давно публиковалась статья (не на TJ) об уязвимости в системе провайдера «МаксимТелеком», и там ни о чем таком речь не шла. Объясните, пожалуйста.

Ответить
Развернуть ветку
Плоский Абдужаббор

изи, получил несанкционированный к информации с гос сайта - до 10 лет тюрьмы
но это вроде не гос сайт, я ссылку не видел, поэтому до 5 лет

Ответить
Развернуть ветку
1 комментарий
Плоский Абдужаббор

плюс врядли он делал это со своего ип, если одновренно с ним кто-то еще ломал веб приложение, то ему могут приписать и другие, успешно реализованные кем-то векторы атаки
например, брутил через тор и кто-то в это же время тоже брутил через тор
но я не юрист, считаю выкладывать статью риском, видимо отказали в баблишке или уж совсем туго на голову, что бы на тж этим пиариться

Ответить
Развернуть ветку
Плоский Абдужаббор

а еще только из-за репутационного ущерба на старте компании могут погонять его по прокуратуре
но сажают редко, пальчикам погрозят и отпускают, если первый раз попал по статье (читал в инете, сам не знаю)

Ответить
Развернуть ветку
Тесный Гоша

Комментарий недоступен

Ответить
Развернуть ветку
Подобный пистолет

Походу закроют тебя за это дело)

Ответить
Развернуть ветку
Полноценный парфюмер

Комментарий недоступен

Ответить
Развернуть ветку
Приличный Слава

Крым наш!
Я сегодня решил хлебнуть гавна полной грудью

Ответить
Развернуть ветку
Читать все 135 комментариев
null