How to become an author
Search
Write a publication
Pull to refresh

Comments 66

Не совсем понял, vk_id это идентификатор пользователя, и его может читать любое ВК приложение без разрешения пользователя?
This comment wasn’t rated yet0
vk_id в данном случае — да, идентификатор пользователя. У приложения есть доступ к данным пользователя, и, видимо, они добываются в тот момент, когда происходит обращение к vk.com/login с некоторым запросом. По крайней мере, этот момент очень бросается в глаза.
This comment wasn’t rated yet0

Может всё таки делается ещё один запрос непосредственно к приложению? Но всё равно, почему какое то левое приложение, которому явно не давали разрешения, имеет доступ к персональным данным?

This comment wasn’t rated yet0
Интернет-полиция недалекого будущего: ходишь по сети вдруг серфинг прерывается и появляется в окне браузера строгое, но справедливое лицо бота-представителя власти: "А покажите Ваш Сетевой паспорт для проверочки. И пальчик приложите, пожалуйста. Проблемки у Вас, Виталий Сергеевич. Долги по кредитам — 20 тысяч! Айяйяй, и штраф за просмотр запрещенных сайтов неоплачен. Придется временно заблокировать выход в Интернет.."
Total votes 1: ↑1 and ↓0+1

Хм, а кто-то из здешней публики ходит в интернет без Ghostery или его аналога? Но расследование любопытное, спасибо.

Total votes 10: ↑3 and ↓7-4
UFO just landed and posted this here
нужно заниматься очисткой интернета от мусора

Каким образом? Лично я точно ничего изменить не смогу. Я в VK не работаю.

This comment wasn’t rated yet0
Я вижу тут дырку в vk, отвечать ок на запрос «https://vk.com/login» с «Referer» в шапке http, отличный от домейна vk.com, ну вот и результат.
Total votes 3: ↑3 and ↓0+3
Тут да, вопрос почти что из серии «баг или фича?». Потому что подобная механика точно работает уже 2 года как (из того, что удалось нагуглить) и, скорее всего, работала и раньше. Было бы интересно узнать что к чему.
This comment wasn’t rated yet0
Нет, баг точно. Попробовали бы они сделать такое в мичети с фейсбуком или гуглом.
This comment wasn’t rated yet0
Склоняюсь к версии, что это баг оставленный намеренно. Почему? Вероятно сделать по нормальному было сложно, *сарказм on* а ущерб небольшой, подумаешь и так публичные данные пользователей утекают, биг дил.
Total votes 1: ↑1 and ↓0+1
да и у фейсбука такие дыры есть… честно говоря, не помню точно как, но трекается так же без ведома пользвателя, зашедшего на сайт, под каким акком он залогинен в фб
This comment wasn’t rated yet0

Referer тут ни при чем. Проблема — в каком-то странном параметре to=aW1hZ2VzL2ljb25zL2hlYWRfaWNvbnMucG5n, который непонятно что делает.


Официальный API предполагает показ промежуточной страницы, где у пользователя спрашивают согласен ли он передать свои данные для идентификации. Тут же этот шаг каким-то образом пропустили.

This comment wasn’t rated yet0
Проблема — в каком-то странном параметре to=aW1hZ2VzL2ljb25zL2hlYWRfaWNvbnMucG5n, который непонятно что делает.

Это «images/icons/head_icons.png» в base64. И это не проблема, проблема что (я не проверял) вероятно разрешен логин через куки по GET запросу, ни CORS не работает, ни проверки на откуда пришел запрос нет.
This comment wasn’t rated yet0

В таком случае это простая проверка залогинен ли пользователь, которая сама по себе ничего не делает, как уже написали ниже. Проблема не в ней, а в том коде который выполняется в случае успешной проверки.

This comment wasn’t rated yet0
Что это меняет? Если сайт может получить несанкционированный доступ к данным другого сайта, то у этого сайта есть дырка в безопасности. Да, дырки в безопасности есть у многих и на это можно забивать болт, пока это не становится общественным достоянием и теперь каждый 13ти летний кулхакер может в эти дырочки совать свои грязные пальчики. Более того, как правило дырки безопасности по одиночке не ходят, что подтверждает эта статья, на сколько я понимаю здесь используется, как минимум 2 уязвимости.
This comment wasn’t rated yet0

Это делает неправильным ваш комментарий:


Я вижу тут дырку в vk, отвечать ок на запрос «https://vk.com/login» с «Referer» в шапке http, отличный от домейна vk.com, ну вот и результат.

Дырка — в другом месте.

This comment wasn’t rated yet0
Комментарий правильный, это дырка, но единственная.
Total votes 1: ↑0 and ↓1-1

Вы так говорите, как будто юный возраст — это что-то плохое :)

This comment wasn’t rated yet0
а что хорошего может с вами случиться если вам всего 13 лет :)
Total votes 1: ↑0 and ↓1-1
https://vk.com/login?u=2&to=

это простой способ определить залогинен пользователь или нет, а не то, что вы написали. В случае наличия сессии — редирект будет на картинку или favicon, а дальше уже идет работа с API VK
This comment wasn’t rated yet0
Скрипт редиректит пользователя на страницу iframe приложения, ВК передает id текущего пользователя в айфрейм через параметр viewer_id, приложение его сохраняет и редиректит пользователя обратно через window.parent.location. Весь процесс занимает пару секунд. Отправлял багрепорт еще в октябре, а воз и ныне там.
Total votes 2: ↑2 and ↓0+2
интересно, что имея скрины, название сервиса нагугливается с первого запроса)
у них даже есть
ГОСУДАРСТВЕННАЯ РЕГИСТРАЦИЯ ПРОГРАММЫ ДЛЯ ЭВМ

со следующим описанием
Реферат:
Программа предназначена для сбора, сохранения, обработки и предоставления информации о посетителях сайта. Позволяет собирать общедоступную информацию (профиля посетителей соц. Сетей), учитывать количество посещений, запоминать источники перехода на сайт, ключевые слова, время посещения сайта, список просмотренных страниц и другую техническую и общедоступную информацию. Также программа умеет определять и оценивать вероятность совершение целевого действия конкретного посетителя на сайте. Доступ к программе осуществляется с помощью веб-интерфейса, а так же API, которое позволяет получить статистическую информацию и сохранить статус пользователя в системе.
This comment wasn’t rated yet0
Собственно, потому и пишу в начале статьи, что легко нагуглить :)
Было бы интересно разобрать всю механику подобной схемы более подробно силами сообщества, чтобы не приходилось беспокоиться вне анонимного режима о том, что кому-либо напишут/позвонят (а там ещё и номера телефонов собираются) с сомнительными целями.
This comment wasn’t rated yet0
Так нужно быть залогиненным в соц. сети, чтобы это сработало?
This comment wasn’t rated yet0
Перед переключением вкладки социальной сети, на другой сайт, вы разлогиниваетесь? Я даже не спрашиваю, что перед закрытием вкладки соцсети вы всегда делаете логаут, конечно да.
This comment wasn’t rated yet0
Похожую техники использовали ребята из **трекер, после того как сайты всех их клиентов Яндекс стал понижать в выдаче за кликджекинг и в браузере предупреждать, что сайт может быть опасен они изменили тактику. При заходе на сайт происходит редирект в ВК, за вас автокликом соглашаются дать доступ приложению и редиректят обратно на сайт. Поддержка ВК дала мне ответ, что они не могут что-либо сделать, т.к. технически я разрешаю доступ и нарушения нет
This comment wasn’t rated yet0
UFO just landed and posted this here
Как это в данном случае применимо? Скорей режим инкогнито спасёт мир
Total votes 1: ↑1 and ↓0+1
Автоклик без капчи не сработает и приложение не получит разрешение…
Total votes 2: ↑1 and ↓10
Вы имеете в виду, что VK должен добавить капчу для подтверждения пользовательских действий? Но капча же вполне распознаётся роботами и низкооплачиваемыми фрилансерами.
Моё мнение, что капча это препятствие от школьников, а в случае коммерческого проекта они вполне могут заплатить спецу чтобы он написал обход капчи.
Наверное, решением было бы расширение в браузер или встроенный в него функционал который запрещает подобные авторедиректы и автоклики.
This comment wasn’t rated yet0
И этот обход проработает сутки двое, после чего алгоритм обхода перестанет действовать. Капча это достаточно действенное средство против автоматизации. Причем бывает капча без капчи, там где не надо ничего вводить а просто передвинуть слайдер мышкой. С чем не справляется ни один бот, кроме полноценных эмуляторов движения мыши.
This comment wasn’t rated yet0
UFO just landed and posted this here
Автоклик не нужен, автору приложения достаточно поставить опцию «Установка приложения — Не требуется», и оно будет запускаться автоматически без каких-либо действий со стороны юзера. Это больше вопрос к ВК, у ФБ приложения, не требующие установки, запускаются анонимно, без передачи id юзера.
Total votes 2: ↑2 and ↓0+2
Было бы интересно по методам борьбы, хотя бы временным. Например ublock спасает от такого?
This comment wasn’t rated yet0
Тоже интересно, поможет ли например ghostery
This comment wasn’t rated yet0
Америку вы не открыли. Совсем. Это уже много лет практикуют. И очень много сервисов, предоставляющих подобные услуги (предоставляют базу пользователей из соц сетей, кто был на их сайте). Но мы рады, что вы открыли для себя кликджекинг))
This comment wasn’t rated yet0

Здесь, скорее всего, даже без clickjacking'а обошлось, vk сам отдаёт нужные сведения "анонимному" приложению.

This comment wasn’t rated yet0
Кстати да, т.к. за кликджекинг сайты подвергают санкциям теперь пользователю не нужно кликать, его сразу же при заходе на сайт редиректят в ВК. Даже если это выглядит сомнительно и отталкивает клиента, умельцы всё-равно получают данные вк-юзера
This comment wasn’t rated yet0
Мне на почту приходили сообщения от магазинов «вы смотрели на такой-то товар».
This comment wasn’t rated yet0
Там же и fb_id, а, соответственно, данные аккаунтов фейсбука тоже как на ладони. Хотя, все таки, лучше посещать проверенные магазы.
А что за сайт? На крине не увидела url.
This comment wasn’t rated yet0
Нагуглить сайт, показанный вами, не составило труда. Однако, чтоб найти на какой рекламный сервис в Фейсбуке ведет — нужен ваш! Там осуществлена возможность партнерских приложений, как в самом Фб, так и вне, ведущих на него.
А вот, профили каких сайтов они собирают (ну, почти все они указаны в вашем скрине).

image
This comment wasn’t rated yet0
Кстати, пару месяцев назад столкнулся с другой рекламой. Зашёл в торговый центр и, проходя мимо отдела(которые ещё обычно в проходе располагаются) различной бижутерииювелирной продукции, получил смс-уведомление такого плана — «Вам драгоценный подарок от Name&Name в ТЦ Таком-то».
This comment wasn’t rated yet0
Год назад человек был в США на конференции, где собирались крупные корпорации связанные с BigData, основной разговор о том, что делать с огромным собранным массивом данных о людях. В частности, решение — такая адресная реклама там как раз это обсуждалась — вот дошло и до нас! А ведь Фейсбук сам сливает данные, он собственно этим и живет.
Total votes 2: ↑0 and ↓2-2
Поддержу, тема известная и уже давно, и поисковики с ней борятся в меру сил.
This comment wasn’t rated yet0
Боролись, когда был clickjacking — за курсором плавал невидимый iframe и первый клик ничего не делал для посетителя, а нажимал на невидимую кнопку виджета.
Текущая система пользовательский опыт не особо портит, поэтому поисковые системы с ними пока не борятся.

По поводу емейлов и телефонов — определяются только те, которые не защищены настройками приватности и в открытом доступе? Или что-то изменилось?
This comment wasn’t rated yet0
Насколько я знаю, конкретно с тем же LPT боролись из-за того, что он предоставлял услугу соц. фишинга, они в итоге выпустили вторую версию алгоритма, как они сами ее называют, которая теперь, как верно уже написали, просто перекидывает пользователя на страницу ВК и потом возвращает клиента обратно на сайт. За это блокировать их перестали, по крайней мере пока что, но понятное дело, такое поведение сайта вряд ли радует посетителей. По поводу данных — насколько я знаю, брали только те, что в общем доступе.

А, кстати и Яндекс.Браузер какое-то время назад начал предупреждать насчет сайтов со скриптами соц. фишинга, что они опасны, так что как пользователь я лично могу им только руку пожать за такое поведение — сам LPT и ему подобные вряд ли будут использовать данные для чего-либо прям уж совсем незаконного, а вот их клиенты действительно за счет таких инструментов могут начать вдруг шантажировать своих посетителей, ну или еще что устраивать нехорошее.
This comment wasn’t rated yet0
По поводу емейлов и телефонов — определяются только те, которые не защищены настройками приватности и в открытом доступе? Или что-то изменилось?
Как раз что-то изменилось. Определяются те, что защищены в т.ч
This comment wasn’t rated yet0
Говорят что используют базы партнёров, которые предоставляют им эти данные. То есть конечно не все там есть, но процент вырос.
This comment wasn’t rated yet0

Мммм… В том числе в разряде веб-аналитики и маяков, id вашего контейнера на Яндексе? (Не профиля, id, который у вас в паспорте). Ну или например, детектить людей по их MAC-адресам видеочипов? ;)))))) А такие есть… Хорошо. а если MAC изменился? (можно изменить ip, но не адрес чипа самостоятельно, так считают. Но вы ведь можете сменить железо, верно?). Кстати, отсюда становится ясно, зачем в регистрации компаний входит id оборудования.

This comment wasn’t rated yet0

В частности, второе — это кодеки видеокарт от майкрософт VC. а теперь узнаем каждый у себя в cmd вводим ipconfig /all и узнаем свои адреса и — сравниваем!

This comment wasn’t rated yet0

Нет, физический адрес там отличен, это хеш. Тем не менее..

This comment wasn’t rated yet0

Все. Я поняла, ребятки, что это. Очевидных нарушений нет. Это хеши, зашифрованные в Md5.
Ничего эдакого… но есть "друзья" и сервисы по… дешифровке. Воть так!


image

This comment wasn’t rated yet0

Немножко еще добавлю. Судя по всему, у тех, кто сидит с телефонов (вот приложение, или арбузер, я не знаю) — видны номера телефонов! Все равно, очевидные нарушения есть!

This comment wasn’t rated yet0
Пояснение РКН от 2015 года о законности одного из таких сервисов:
«Зарегистрировавшись в социальной сети „Вконтакте“, субъект персональных данных предоставляет доступ неограниченному кругу лиц к своим персональным данным и делает их общедоступными, из чего следует, что согласие субъекта персональных данных для обработки его общедоступных персональных не требуется.

Исходя из вышеизложенного, Вы имеете право собирать и систематизировать персональные данных посетителей социальной сети „Вконтакте“, профили которых открыты и являются публичными.»

Получаем, что разъяснение РКН противоречит политике конфиденциальности vk и условиям использования vk api, или я чего-то не понимаю?

п.с. Разрешение Роскомнадзора
This comment wasn’t rated yet0

Видимо, нарушение условий использования vk.api нарушает права vk, но не нарушает права пользователей.

This comment wasn’t rated yet0

Они н а р у ш а ю т права пользователя, поверьте мне))) Ой нарушают!

Total votes 1: ↑0 and ↓1-1

И есть еще кое-что, что, например, позволяет как минимум, извлечь последнее сообщение, например в том же ВК

Total votes 1: ↑0 and ↓1-1

Все таки, я еще раз отпишусь, чтоб уж до конца быть справедливой. Не сочтите за навязчивость, особенно касательно того, что в ответах. Id там реально можно увидеть. Особенно в группах.
Должна отдать должное, самое наидрожайшее — это статьи в менюхе (полностью авторские работы) — не видно, только адреса вики-страниц.
Скажу так, их можно выкрасть, если вместе с кодом вставить в другую группу. В двух ветках один и тот же адрес странички меню существовать одновременно не может. Менюшка перенесется. Закрывайте код и его не видно в исходнике.
Без выхода вы видите свой адрес и Ip. Да-да! Там айпишник. Хэш. C выходом детектится тоже ваш хеш ip, даже при просмотре пользователя. Второй — вероятнее все таки это хэш пароля. Проверяла свой. Если нормально запаролен, ни один сервис его точно не расшифрует. (Видели пароли банков или автогенераторов?.. Вот то же самое, умноженное количественно на двое — сервис зависнет на год)) Шучу.
Конечно, группы по платному взлому напрягают, так же можно увидеть прицепленные группы и API. Ну это так, только на своей страничке наскоро, чтоб успокоить душеньку. Спасибо за статью.
Есть ухищрения. Но такие группы и контент надо просто блокировать! Пишут приложения, плагины, скрипты..


Яндекс-маяки. Не в Вк. Пиксели. Это доступ к почте (как минимум, у кого-то может использоваться эмейл яшки). А так же id контейнера в паспорте. Т.е. все телодвижения и карта, адресс, прочее.

Total votes 1: ↑0 and ↓1-1

У вас нет фото. Файлообменник приказал долго жить. Вы как их загружали?
image


Но кое-что есть.
image


image


image


Они сохраняются в индивидуальных контейнерах. Вообще, очень полезны. Сначала я даже растерялась. Не теряйте)

This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Show the best of all time

Your account

Sections

Information

Services

Support
© 2006–2024, Habr