Лом vkontakte - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

vovan7777

Пришло веселое сообщение вконтакте:

"Привет друг! Скажу сразу - это не спам и не какой-то там вирус, потому что я считаю, что только последний идиот будет заниматься такой ерундой. Я предлагаю реальную вещь: если тебе когда-нибудь хотелось узнать, кто тебе на самом деле друг, кто пишет тебе анонимные мнения, с кем реально переписывается твоя девушка и есть ли у нее кто-то, то эта программа для тебя! Программа позволяет

зайти на любую страницу сети vkontakte и представляет собой простую базу всех паролей и e-mailов пользователей. Работать с ней предельно просто. Все пароли свежие. Чтобы скачать данную программу, ты должен зайти на сайт :

needprog

ТОЧКА РУ - поставь сам. Это для того, чтобы ссылку не забанили. На этом сайте заходишь в раздел "программы" и там увидишь - 'Lomkontakt v.1.41>>>скачать' И все... Она твоя, и ты сможешь смотреть любую страницу сети vkontakte. Думаю, что эта программа тебе поможет! Удачи, спасибо за внимание. (+)(+)(+)(+)(+)(+)(+)(+)(+)"

ссылка ведет сюда:

http://needprog.ru/prog.html

далее:

http://www.needprog.ru/sms/index.php

Вопрос к экспертам,там реально чудо-программа )) или все банально и обычный лохо-развод?

Кто нить видел образец скаченного?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vovan7777

сам же и нашел ответ на свой вопрос

http://www.omedb.ru/forum/lofiversion/index.php/t8046.html

надо же как долго живет этот сайт у них...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vovan7777

Сегодня,зайдя вконтакт,увидел сообщение от незнакомой девушки с просьбой удалить ее из моих закладок..

немного прибалдел конечно от такого.)

Порылся по сети и сайтам техподдержки и попробовал узнать каким образом это получилось у нее-она действительно была у меня в закладках...

поискал по теме: как узнать у кого ты в закладках.

нашел роспись про durov.ru и API -это фишеры?

в результате ведь узнали.то у меня в закладках...это очередная дырка у Дурова? неприятно однако!

у меня страница полностью закрыта от чужаков и альбомы и личная информация.

почему их сайт тогда не бьют антивирусы и он так долго существует?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
нашел роспись про durov.ru и API -это фишеры?

Нет, не думаю.

'durov.ru' = пример построения собственной социальной сети на UserAPI. Вы можете зайти на www.userapi.com и прочитать о данном ресурсе (нажмите 'See an example of a social networking site built completely with User API' и вы перейдёте на 'durov.ru'). Это в случае, если у вас появится желание создать свою социальную сеть на основе 'вконтакте'. ;)

Если всё правильно, то тогда о данном ресурсе тоже написано на самом сайте вконтакте здесь и здесь. (Не проверил, но нашёл такие ссылки в Интернете)...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vovan7777

Ура! p2u-вернулся на форум! :rolleyes:

Читаю информацию про это все и понимаю,что открыта лазейка все таки для любопытных.

то,что по умолчанию было закрыто-теперь кто то сможет посмотреть,у кого руки на месте и голова.

это не есть гуд

походу, надо будет постепенно завязывать с этими сетями или оставить одно фото и все.

вообще ,касательно этой темы,какова вероятность взлома полностью скрытой страницы и скрытых альбомов,если не знают твое мыло и пароль (длинный и несвязный)?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Прямые ссылки помогают. По прямым ссылкам можно видеть удаленные темы, группы, фото.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
какова вероятность взлома полностью скрытой страницы и скрытых альбомов,если не знают твое мыло и пароль (длинный и несвязный)?

Вероятность достаточно высока - на самом сайте 'вконтакте' хватает возможностей через java-скрипты + куки

("java script:document.write(document.cookie);", например).

Часть скриптов по-прежнему не защищена. То есть - Дуров даёт метод защиты, но сам метод не проверяется. Работает даже трюк с заменой e-mail'а (ваш логин же) на произвольный, так что те, которым нужен ваш ящик, радуются: не обязательно знать ваш мейл; только пароль нужен. Да, и это не проблема - зачем взломать? Долго, неудобно... Часто сами юзеры его просто выдают. Например: работают такие сайты, которые предлагают вставлять на стены ваших друзей красивые фотографии. И как показала статистика, многие посетители даже используют данные услуги. То, что одновременно увеличивалось количество случаев кражи паролей, клон-страниц, порчи страниц, рассылки спама с аккаунтов пользователей всех будто удивляет...

Если вы пользовались услугами сайтов, которые вам таким образом 'помогают', то тогда ваш пароль точно улетел (они просто перехватывают ваши куки через межсайтовой скриптинг). Ну, а потом (в лучшем случае), подонки успешно используют разные специальные тулзы для рассылки спама и т.д., например такую:

d1a00a5f7e4b.jpg

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Scratchy Claws
Работает даже трюк с заменой e-mail'а (ваш логин же) на произвольный, так что те, которым нужен ваш ящик, радуются: не обязательно знать ваш мейл; только пароль нужен.

думаю не одна сотня пользователей использует простые пароли типа qwerty или gfhjkm, при таком раскладе логины должны путаться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
думаю не одна сотня пользователей использует простые пароли типа qwerty или gfhjkm, при таком раскладе логины должны путаться.

Это раз. Потом, как вы сами можете проверять насколько ваши друзья такие осторожные? Если я захвачу аккаунт одного из ваших друзей, то тогда у меня тоже доступ будет к вам, даже если вы всё блокировали для посторонних...

P.S.1: При cross-site scripting ваш пароль может быть хоть километр - это не имеет значения. Мне нужен сеансовый cookie, и всё...

P.S.2: О, да... Насколько ваш браузер будет защищать вас против эксплойтов такого рода можно проверить здесь. Надо сразу сказать, что результаты не радуют, и там только речь идёт о password manager'ах...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Scratchy Claws
P.S.1: При cross-site scripting ваш пароль может быть хоть километр - это не имеет значения. Мне нужен сеансовый cookie, и всё...

Кстати о куках... когда-то у нас в офисе контакт был октрыт, и можно было залогинится с одного компьютера, потом открыть вконтакте на другом и оказатся на чужой страничке... так же *путаются* и некоторые сервисы mail.ru, знакомства, например. А если так можно сделать случайно, значит можно и умышленно.

а вот что касается пассворд-менеджеров - проверю дома... давно хотелось узнать насколько он у меня стойкий.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Update: А легче нам не станет, кажется - смотрите, что предлагается, когда вы устанавливаете альтернативную аську (QIP):

bc2e83b6287e.jpg

Теперь не только по умолчанию отмечено 'Изменить стартовую страницу' и 'Изменить поисковик браузера', параметры, которые большинство юзеров даже не замечают во время установки, а теперь такое... Щёлк, щёлк, ОК, ОК... Oops!?

ОООчень даже удобно, правда? Даже переходить на сайт уже не надо... Запоминает все наши пароли, что ли? Хотя, нет... Это в следующий раз будет, когда надо будет очередной раз обновляться из-за найденных дыр... Это мы с вами так долго ждали, а наконец-то сбылось - новая приманка для троянов и червей... ОТМЕЧЕНО 'ДА' ПО УМОЛЧАНИЮ!!!

P.S.: И такая попытка массовой дибилизации ненужными нам фичами происходит во всех программах - все решают для нас, что нам удобно, что безопасно, и т.д.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

+1 поразился при инсталляции в случае проколов протокола. Перешел в Джаббер сразу из- за обилия подобных "сервисов"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Scratchy Claws

не зря я пользуюсь мирандой) в ней по умолчанию почти ничего нет)))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Вот как работает - действительно может запоминать наши пароли (скриншот со сайта производителя):

qip_online.gif

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Scratchy Claws

вопрос в том, насколько надежно эти пароли хранятся в КИПе.

А дальше - чем популярнее клиент, тем активнее его ломают... Как с файерфоксом - поизиционировался как самый надежный браузер, пока не стал ОЧЕНЬ распространенным - уязвимости стали находить чуть ли не каждый день.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Уязвимости в Fx закрываются практически всегда ДО появления эксплойтов ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
вопрос в том, насколько надежно эти пароли хранятся в КИПе.

Нет... Вопрос в том, почему постоянно создаются механизмы, которые по определению НЕ МОГУТ быть защищены если что... Кроме того, целовая группа обычно те, которые НЕ МОГУТ оценить риски, тем более управлять проблемами когда уже поздно...

P.S.: Насколько я знаю, логин и т.д. на этих сайтах - это же всё через простой http, не так ли?

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Вот как работает - действительно может запоминать наши пароли (скриншот со сайта производителя):

Это же давно "бойан".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Может уже давно; я раньше пользовался обычным QIP'ом (до декабря, когда я решил совсем крест поставить на ICQ) и такого ещё не видел. Теперь одна ученица (24 ей!) в субботу хотела переходить с ICQ6 на этот QIP, и была в процессе установки щёлк, щёлк, ОК, ОК... Не читала ничего, естественно. Я её остановил, попросил ходить назад и она вдруг осознала, на что она нажимала ОК. Когда мы дошли до этого окна, она обалдела. Мы удалили эту фигню совсем, и установили Миранду. Вот так...

P.S.: Интересная тема по ссылке. Только фантация может подсказывать, какие возможности там открываются если он всю эту инфу ещё и на сервер storage.qip.ru посылает. Если предполагать, что это партнёрская программа какая-то и что то, что он собирает на всех этих социальных сетях заодно тоже будет сохраняться на этом же ресурсе, то тогда составить полный профиль по человеку ещё проще, чем было. В условиях кризиса можно ещё и продать рекламщикам, спаммерам, или кому-то ещё... Прямо реалити-шоу какой-то... И Джорж Оруэлл улыбается в гробу...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu
Уязвимости в Fx закрываются практически всегда ДО появления эксплойтов ;)

Вспоминаются версии 2.0.0.х

^___^

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Scratchy Claws
Уязвимости в Fx закрываются практически всегда ДО появления эксплойтов ;)

это, конечно, хорошо. Но лучше бы их не было совсем ;) Да и не все пользователи считают нужным постоянно обновлять свой софт.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
это, конечно, хорошо. Но лучше бы их не было совсем ;) Да и не все пользователи считают нужным постоянно обновлять свой софт.

NoScript с самого начала его создания компенсировал за дырявость этого браузера. Люди не осознают, что это на самом деле за чудесное дополнение от Giorgio Maone. За такую защиту стОит платить.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Scratchy Claws

кстати, вернемся к контакту. прикол с заменой логина на случайный не сработал ^_^

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
кстати, вернемся к контакту. прикол с заменой логина на случайный не сработал ^_^

Может перекрыли уже. А следующее до сих пор работает?

чтобы просмотреть фотки, защищённые настройками приватности:

1) перейдите на незащищённую фотку

2) нажмите 'Включить ускоренный режим просмотра фотографий'

3) переходите на следующую фотку

:D

Короче на форумах античат, хакер точка ру и подобных ресурсах для предприимчивых подростков можно узнать последние трюки в данном направлении (если интересно, конечно).

P.S.: Как менеджер паролей справился с тестом?

Paul

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vovan7777

Работает!

:lol:

Пару человек уже удивилось,когда я им про это сказал....

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×