Многие думают: «Пффф, да меня невозможно взломать!». Как бы не так.
Наверное, вы знаете что можно зайти в аккаунт, не зная пароля. Это можно сделать через токен авторизации и получить полный доступ к профилю. Именно так я взломал своих друзей.
Важно! Если Вам пишет человек с просьбой перейти по ссылке, нажать «разрешить» и отправить ссылку из адресной строки, шли ***** [нафиг] такого человека.
С помощью токена злоумышленник может незаметно получить доступ к странице, но для этого потребуются навыки социальной инженерии. При этом двойная авторизация никак не защитит пользователя.
Как работает «взлом»:
- Пользователю пишет человек с просьбой оценить его сайт и перейти по ссылке;
- Когда он нажимает «разрешить», то открывается окно с текстом — скорее всего никто не поймёт, что произошло;
- Тогда злоумышленник попросит ссылку из адресной строки;
- Если её прислать, то взломщик получит доступ к личным сообщениям — и это нигде не отобразится.
Предлогов может быть очень много, в некоторых случаях даже не нужна ответная ссылка — злоумышленники сами её получат с помощью скрипта. Если вас неожиданно просят о переходе по какой-то ссылке, просто не переходите.
Для «взлома» используют возможности API «ВКонтакте» — можно получить данные токена безопасности из cookies через отдельный сервис. Ссылку оттуда достаточно отправить жертве, после чего нужно попросить переслать назад. По этим данным можно совершить подмену cookies.
При внезапно смене IP «ВКонтакте» должна блокировать действия страницы до ввода номера, но этого почему-то не происходит.
Комментарий недоступен
Комментарий удален модератором
Комментарий удален модератором
Это постирония братан.
Сейчас сам чекаю посылку через этот трекер. Увидел комментарии и с одной стороны было смешно, а с другой грустно(
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Надо было мужа проверить, подозревала его сильно, все перепробовала. Потом в интернете всё-таки нашла человека, bomberuno. это его айди в вк, сделал. Оказалось что муж просто мне подарок готовили с подругой моей)))
Открывается окно с текстом «Не копируйте данные из адресной строки, злоумышленники могут получить доступ к вашему аккаунту».
Если даже после этого пользователь скидывают ссылку, то аккаунт ему, видимо, не сильно то и нужен.
чуваки которые разводят людей на деньги с карты, тех-поддержкой бвнка представляющиеся, говорят чтот типа:
- сейчас вам придёт смс с кодом, там сообщается о том что нельзя передавать эти данные никому постороннему, повторю, не сообщайте эти данные никому постороннему. Назовите код.
- 4591
А что делать с ссылкой которую тебе скинули?
Ясно
Понятно
Ещё не стоит сообщать код с обратной стороны карточки
Это всего лишь номер отделения банка. Мне так сотрудник банка по телефону сказал (с)
А точно нельзя? Мне сейчас позвонили с какого-то номера, говорят что киви, попросили продиктовать код из СМС(
Конечно, лучше не переходить. Но если очень хочется посмотреть, что по ссылке, то можно её копировать и вставить сюда: http://pici.picidae.net/ Этот сайт формирует картинку из того, что располагается по ссылке.
Анус, анус себе минусни.
Когда узнал что такое сессии, токены и даже пытался xss приплести. Ну а вообще если твои друзья готовы ходить по левым ссылкам и отправлять все что их просят, будь уверен их логины и пароли давно есть в публичных базах :}
К сожалению их в базах нету(
Рубрика "Очевидности" на TJ
Комментарий удален модератором
Комментарий недоступен
Ветер дует.
Комментарий недоступен
Кстати да, нужно переходить в телегу)
Зимой холодно
Дома тепло
Комментарий удален модератором
Скажи привет двухэтапной верификации
А вообще посыл хороший конечно, но он ограничен очень уж специфическим примером
Вряд ли многие будут париться с токеном если фишинг намного беспалевнее
Да и друзья дело другое, это уже скорее проблема доверия, нежели социнженерии
Двухэтапная аутентификация не поможет)
Почему это важно?
Этому баяну уже 99 лет в обед.
Потому что я до сих пор могу получить интимки друга за 10 минут....
То есть ни одну жертву не смутит список разрешений, требуемых для ссылки?
Комментарий удален модератором
Ты ща серьезно?
Меня сегодня мальчик лет 10 спросил в метро как удалить страницу вконтакте, потому что его взломали. Так волновался.
Я к тому, что аудитория для объяснения "не ходите по левым ссылкам и не верьте сообщениям в стиле "как ЭТО оказалось в интернете!??", выбрана не особенно удачно.
Комментарий недоступен
у меня даже друзей в вк нет и так никому не доверяешь
Комментарий недоступен
здравствуйте вы можете взломать вк
Комментарий недоступен
кто-то ещё всерьёз относится к этой помойке?
Он сейчас такой, так-то он переживёт создателей и владельцев.
Комментарий недоступен
Комментарий недоступен
Комментарий недоступен
так ведь уже. :)
Не вводите в заблуждение людей. Сам факт перехода по какой-либо ссылке ничего не должен сделать, если только у вас не установлено какое-нибудь расширение в браузере, от этого же автора.
Можно делать так что после перехода злоумышленник получит токен даже без расширений в браузере!
Алло, через xxs можно подтянуть нужный скрипт, отпарсить нужную информацию и послать ее запросом себе. Так что все можно, тем более у нас люди не смотрят на длинные ссылки)
Там хацкеры хотят, чтобы им еще и ссылку из адресной строки прислали, с access_token.
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Сук
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором
Комментарий удален модератором