OAuth VKontakte: भाड़े का उपयोग

VKontakte पर दुर्भावनापूर्ण स्पैम फैलाने के कई तरीके हैं। लेकिन कीट सोते नहीं हैं, अधिक से अधिक दिलचस्प विचार उनके सिर में आते हैं। और VKontakte प्लेटफ़ॉर्म द्वारा OAuth 2.0 के लिए समर्थन सिर्फ रास्ता निकला। जालसाजों ने दुर्भावनापूर्ण साइटों के बारे में चेतावनी पृष्ठ को बायपास करने के लिए इसका इस्तेमाल करना सीख लिया है।

और यह सब तब शुरू हुआ जब एक दिन मेरी दीवार पर एक संदेश आया:

जिज्ञासा से बाहर, मैंने लिंक पर क्लिक किया और अगली फ़िशिंग साइट पर पहुंच गया। लेकिन यह लिंक मुझे खुद अजीब लग रहा था, ऐसा लग रहा था (ASCII में आधे पात्र):
vkontakte.ru/away.php ? = http% 3A% 2F% 2FApi.vKontakte.Ru% 2F% 2Fo% 2561u% 2574% ...

विस्तार से लिंक पर विचार करें:

• vkontakte.ru/away.php - लिंक पर क्लिक करने के बारे में चेतावनी वाला एक पृष्ठ;
• पैरामीटर ही लिंक है। एन्कोडेड रूप में यह इस तरह दिखता था:
  Api.vKontakte.Ru/oauth/authorize?client_id=2376***&cgpopcvkqdjut4&redirect_uri=vgostivk.dyndns**&display=popup?390852

यहाँ सबसे दिलचस्प हिस्सा शुरू होता है ...

आइए भागों में दूसरी कड़ी का विश्लेषण करें:

• Api.vKontakte.Ru/oauth/authorize - VK API तक पहुंच, OAuth 2.0 के माध्यम से प्राधिकरण;
• client_id = 2376 *** & cgpopcvkqdjut4 और redirect_uri = vgostivk.dyndns ** और प्रदर्शन = पॉपअप? 390852 - प्राधिकरण पैरामीटर।

प्रत्येक पैरामीटर का क्या अर्थ है:

• client_id - प्राधिकरण की आवश्यकता वाले एप्लिकेशन की आईडी;
• redirect_uri - पता जिसके लिए access_token प्रेषित किया जाएगा (रीडायरेक्ट के माध्यम से);
• प्रदर्शन - प्राधिकरण विंडो का दृश्य (पृष्ठ, पॉपअप, स्पर्श और वैप)।

दरअसल, redirect_uri में फ़िशिंग साइट का पता था। चूँकि डिस्प्ले पैरामीटर में एक त्रुटि की गई थी (कचरा इसके पास चला गया था? 390852 "), प्राधिकरण विंडो प्रदर्शित नहीं हुई थी, और मापदंडों के साथ फ़िशिंग साइट पर एक रीडायरेक्ट तुरंत चला गया: त्रुटि = अमान्य_प्रत्येक और त्रुटि-विवरण = अमान्य + प्रदर्शन + पारित

यह दुर्भावनापूर्ण VK साइटों की काली सूची को दरकिनार करने का पूरा बिंदु है। केवल api.vk.com के संक्रमण पर एक चेतावनी दिखाई देती है। और संक्रमण के परिणामस्वरूप, हम सीधे फ़िशिंग साइट पर पहुंचते हैं, जो काली सूची में है। जब लिंक पर क्लिक करें vkontakte.ru/away.php?to=vgostivk.dyndns.com:


जैसा कि यह निकला, माना जाता है कि आवेदन को हैक किए गए उपयोगकर्ता पर लटका दिया गया है:


और फ़िशिंग साइट अपने आप में काफी दिलचस्प थी। कस्टम डिज़ाइन से संपर्क किया गया और लॉग इन करने की पेशकश की गई। मैंने यादृच्छिक मेल और पासवर्ड के माध्यम से लॉग इन किया, मैंने नकली को पूरी तरह से निगल लिया। इसके अलावा यह और भी दिलचस्प था, मुख्य पृष्ठ पर "पावेल ड्यूरोव" से समाचार था:


"एक व्यक्तिगत काउंटर बनाएं" बटन पर क्लिक करने के बाद, एक उत्कृष्ट प्रगति पट्टी का पालन किया गया। तब आपको अपना नंबर बताने और एसएमएस भेजने का सुझाव दिया गया था:


सिद्धांत रूप में, एक सफल "सक्रियण" के बाद इसे फिर से सक्रिय होना चाहिए। एफ़पी, लेकिन मैं वहां नहीं पहुंच सका। JS स्क्रिप्ट फ़िशिंग साइट के कुछ अंश:

...
if (req.status == 200) {
// 200 () -
if (req.responseText == 'ok' ) {
//statusElem.innerHTML = ' !';
get_activation();
}
if (req.responseText == 'not' ) {statusElem.innerHTML = " " ;}
//statusElem.innerHTML = " : "+req.responseText;
...
function get_activation() {
document .location= "activ.php" ;
}

* This source code was highlighted with Source Code Highlighter .

निचला रेखा : फ्रॉडस्टर OAuth 2.0 के माध्यम से चेतावनी बाईपास का उपयोग करते हैं, उपयोगकर्ता का पासवर्ड और ईमेल प्राप्त करते हैं, और यहां तक ​​कि एसएमएस भेजने की कोशिश करते हैं (सबसे अधिक संभावना है कि सदस्यता प्रणाली का उपयोग करके)।