Vk.com पर हुड के नीचे क्या है

यह पोस्ट रिवर्स इंजीनियरिंग की प्रक्रिया और सबसे लोकप्रिय सामाजिक सेवाओं के काम के विश्लेषण पर एक छोटी रिपोर्ट है। CIS में नेटवर्क - vk.com विश्लेषण मुख्य रूप से सुरक्षा पक्ष पर किया गया था (हालांकि सोशल नेटवर्क एक उच्च-लोड परियोजना के रूप में बहुत ही आकर्षक है, निश्चित रूप से)। मैंने अपने लिए कुछ दिलचस्प फैसले लिए और सिर्फ इसका आनंद लिया। पोस्ट निकला, शायद थोड़ा गड़बड़ है, इसलिए मेरे लिए दिलचस्प क्षणों में गहरा हो गया।

सामग्री

सिंहावलोकन

आर्किटेक्चर

• php 5.2 / 5.3 है
• लोड अवधि (टेप ऑटो-लोड शटडाउन)
• संदेशों में आवरण
• मोबाइल और पूर्ण संस्करणों के लिए अलग कोड

सुरक्षा

• सुविधाओं
  
  • प्राधिकरण
  • एंटी-सीएसआरएफ टोकन
  • आइफ्रेम पर प्रतिबंध लगाओ
  • सामग्री सर्वर पर अक्षम POST
• फ़ीचर कीड़े
  • खोज के माध्यम से उम्र का पता लगाएं
• कीड़े
  • XSS
  • बिना नाम के दस्तावेज डाउनलोड करें
  • बंद एल्बम (?) से अजाक्स फ़ोटो द्वारा अपलोड करें
  • हर जगह विरोधी सीएसआरएफ नहीं

अनेक वस्तुओं का संग्रह

सिंहावलोकन

सबसे पहले, आपको कुछ पुराने, लेकिन दिलचस्प लेख पढ़ने चाहिए:

• दो समान लेख - [१] , [२]
• थोड़ा अलग पक्ष - spb-borodin.livejournal.com/596.html

फायरबग को चालू करने और बस वेब डेवलपर की तरफ से साइट को देखने के बाद, यह तुरंत स्पष्ट हो जाता है कि अंदर कुछ गड़बड़ है (हम लेख के अंत में इसे वापस कर देंगे), डिस्पैचरों की कमी (संभवतः लोड को कम करने के लिए, बिखरे हुए शैलियों और जेएस फाइलें और बहुत अधिक। लेकिन सामान्य तौर पर - एक सीधा वेब एप्लिकेशन जो व्यस्त स्थानों में नोड्ज का उपयोग करता है, और बाकी "मानक" (मैं यहां तक ​​कि "हैकनीड") विकास प्रौद्योगिकियों (उनके अघोषित डेटाबेस को छोड़कर) कहूंगा। मैं भी बैलेंसरों की सेटिंग को त्याग देता हूं।

आर्किटेक्चर

• php 5.2 / 5.3 है
  आवेदन के साथ काम करने के दौरान, हम किस बैकएंड पर निर्भर करते हैं, हम पीएचपी के विभिन्न संस्करणों (5.2 / 5.3) पर ठोकर खाते हैं। यानी यह सबसे अधिक संभावना है कि php 5.3 में नवाचारों के कारण इंटरप्रेटर में विभिन्न बगों को ठीक करने के कारण php संस्करण अधिक बदल रहा है। वैसे, सुहोसिन स्थापित है
• लोड अवधि (टेप ऑटो-लोड शटडाउन)
  सबसे अधिक संभावना है, कुछ मॉनिटर लिखे गए हैं जो लोड को देखते हैं और गतिशील रूप से स्क्रिप्ट कॉन्फ़िगरेशन को संतुलित करते हैं। उदाहरण के लिए, देर शाम को, टेप के ऑटो-लोडिंग को बंद कर दिया जाता है, जो कुछ मिलियन उपयोगकर्ताओं के साथ लोड को काफी कम कर सकता है।
• संदेशों में आवरण
  संदेशों में अलग-अलग सामग्री जोड़ने की सुविधा को आदिम बनाया गया है, लेकिन शायद यह सच है। जब आप एक वीडियो जोड़ते हैं, तो एक संदेश भेजना ऐसा दिखता है:
  act=a_send&al=1&chas=XXXXXXXXXXXXXX&from=box&media=video%3A-22558194_163667075&message=&title=&to_ids=6254003
  यानी अनुलग्नक का प्रकार (वीडियो, ऑडियो, मानचित्र आदि ...) और इसके लिए एक आंतरिक लिंक केवल संकेत दिया गया है। मैंने इस क्षण को लंबे समय तक विलंबित किया, जिसमें कुछ डालने की कोशिश की गई - यह काम नहीं किया।
  
• मोबाइल और पूर्ण संस्करणों के लिए अलग कोड
  यह स्पष्ट हो सकता है, लेकिन कोई चर्चा नहीं है। कोड के कम अमूर्त के कारण सबसे अधिक संभावना है, जो आपको केवल विधि लेने और इसे दूसरे (जैसे मोबाइल) इंटरफ़ेस पर कॉल करने की अनुमति नहीं देता है। इसके लिए पुष्टि की जाती है, उदाहरण के लिए, विभिन्न अनुवाद (स्थिति "विवाहित नहीं" का अंग्रेजी में "एकल" के रूप में अनुवाद किया गया है, और मोबाइल संस्करण में "विवाहित नहीं है। मैंने इसके लिए एक टिकट लिखा है")। लेकिन ये सिर्फ टेम्पलेट हैं, अन्य बिंदु भी हैं जो अप्रत्यक्ष रूप से अलग कोड की ओर इशारा करते हैं (हो सकता है कि कोड सिर्फ छोटा-दोहरा हुआ हो)

सुरक्षा

इस खंड को शुरू करने से पहले, मैं यूजीन कास्परस्की के पद का उल्लेख करूंगा, हालांकि कुछ बिंदु अब प्रासंगिक नहीं हैं - e-kaspersky.livejournal.com/70000.html

• सुविधाओं
  
  • प्राधिकरण
    यह सिर्फ पहला बिंदु है। प्राधिकरण निम्नलिखित योजना के अनुसार होता है - फॉर्म की कार्रवाई https.vk.com द्वारा की जाती है, वहां यह खुद के लिए एक कुकी (https://login.vk.com) और vk.com (रीमिक्ससिड) के लिए एक कुकी सेट करता है। यदि "काम करने वाले" डोमेन पर कुकी के साथ कुछ गलत है (बदला हुआ, अंतिम आईपी मेल नहीं खाता, आदि), तो login.vk.com पर रीडायरेक्ट स्वचालित रूप से होता है। और अगर इस ब्राउज़र पर पासवर्ड वास्तव में दर्ज किया गया था, तो एक निरंतर-कुकी (जो मूल पासवर्ड दर्ज किए जाने पर सेट की गई थी) होगी, जो स्वचालित रूप से लॉग इन करेगी। यदि नहीं (उदाहरण के लिए, कुकीज को दूर ले जाया गया और दूसरे आईपी से प्रवेश किया गया), तो उसने इसे आपके खाते में नहीं जाने दिया। वैसे, जब मैंने पाया कि XSS इसे लेकर उत्साहित है। वास्तव में, कुकीज़ को हटाने से कुछ भी नहीं होता है (निश्चित रूप से, अगर यह लॉगिन पर एक्सएसएस नहीं है।)। अंतिम सक्रिय सत्र भी दर्ज किए गए हैं - 6 टुकड़े, जिन्हें "लाइव" माना जाता है
  • एंटी-सीएसआरएफ टोकन
    मुझे विश्वास है (मुझे लगता है, न केवल मुझे) यह विधि सीएसआरएफ के खिलाफ सबसे अच्छा संरक्षण है। लेकिन उन्होंने इसे खूबसूरती से कैसे लागू किया ... पहला क्षण मानक है, एक उपयोगकर्ता के लिए एक अद्वितीय कोड जिसकी भविष्यवाणी नहीं की जा सकती है वह किसी भी कार्रवाई के लिए उत्पन्न होता है। लेकिन यहां टोकन की विशेषता यह है कि वे कार्रवाई मापदंडों पर निर्भर करते हैं। इस मामले में, हमारे पास - from_id, to_id, action_id और कभी-कभी कुछ और पैरामीटर हैं। एक हैश उन सभी से लिया जाता है (सबसे अधिक संभावना है कि किसी प्रकार के अपने स्वयं के तेज 72-बिट हैश फ़ंक्शन), नमक सबसे अधिक संभावना जोड़ा जाता है (स्थिर?) (हालांकि, हाल ही में, from_id को स्पष्ट रूप से पारित नहीं किया गया है) और फॉर्म में जोड़ा गया है। यानी विभिन्न मापदंडों के साथ प्रत्येक क्रिया के लिए - एक अलग टोकन।
  • आइफ्रेम पर प्रतिबंध लगाओ
    दरअसल, एक विषय। साइट को एक iframe में प्रदर्शित नहीं किया जा सकता है, जो सही है। किसी साइट को iframe में प्रदर्शित होने से रोकने के लिए विभिन्न तरीके हैं।
  • सामग्री सर्वर पर अक्षम POST
    विभिन्न कारणों से, सर्वर को उपलब्ध तरीकों तक सीमित करना सही है। सभी सामग्री सर्वरों पर अक्षम POST।
• फ़ीचर कीड़े
  • खोज के माध्यम से उम्र का पता लगाएं
    थोड़ी चाल। यदि किसी व्यक्ति की आयु भरी हुई है, लेकिन वह इसे प्रदर्शित करने के लिए तैयार नहीं है, तो आप यह पता लगा सकते हैं कि क्या आप किसी व्यक्ति को खोज के माध्यम से ढूंढते हैं और आयु का चयन करना शुरू करते हैं (फ़िल्टर द्वारा)। संभवतः एक हाइपर-दाढ़ी वाला फीचर बग।
• कीड़े
  • XSS
    शायद, यह सब इस तथ्य से शुरू हुआ कि मैं अपने लिए व्यक्तिगत रूप से एक्सएसएस ढूंढना चाहता था। यह साइट के मुख्य मॉड्यूल में पाया गया - खोज। वेक्टर इस तरह था:
    http://vk.com/search?c%5Bage_from%5D=alert(String.fromCharCode(88, 83, 83, 32, 101, 120, 97, 109, 112, 108, 101, 33))&c%5Bname%5D=1&c%5Bsection%5D=people
    
    
    अलर्ट स्क्रीन
    
    
    स्रोत कोड
    
    अपने शुद्ध रूप में आयु की खोज के लिए संख्या को एक पैरामीटर द्वारा js-function में प्रतिस्थापित किया गया था। एकमात्र सीमा जिसे मैंने "पकड़ा" यहां उद्धरणों का उपयोग करने में असमर्थता है (वे परिवर्तित हो गए थे), जिसे आसानी से स्ट्रिंग फ़ंक्शन द्वारा बाईपास किया जाता है। एक या दो दिन में सचमुच ठीक हो जाता है। उनके पास "इनाम" कार्यक्रम नहीं है। जवाब में, उन्होंने कहा - ठीक किया, जाँच करें और यह बात है। पीएस स्निफर ने सफलतापूर्वक लागू किया, लेकिन यह काम नहीं किया, क्योंकि प्राधिकरण प्रणाली के बारे में पहला पैराग्राफ।
    
  • बिना नाम के दस्तावेज डाउनलोड करें
    इस बग और अगले एक को जांच के लिए पर्याप्त समय नहीं था। लेकिन कुछ और इसलिए लेख को लगातार स्थगित किया गया था, इसलिए जैसा कि यह है। दस्तावेज़ डाउनलोड करते समय, वह फ़ाइल एक्सटेंशन को देखता है और या तो फ़ाइल को स्वीकार करता है या नहीं (Essno, मैंने htaccess को डाउनलोड करने और एक्सटेंशन द्वारा फ़ाइल भूमिकाओं को पुन: असाइन करने की कोशिश की)। .Model फ़ाइल के साथ एक बग था। स्क्रिप्ट ने इसे याद किया, लेकिन यह हमेशा "404" है
  • बंद एल्बम (?) से अजाक्स फ़ोटो द्वारा अपलोड करें
    वांछित दस्तावेज़ के लिए अजाक्स-अनुरोध बनाने से, हम फोटो की पूरी छवि प्राप्त कर सकते हैं (मुझे लगता है कि हमने समाचार फ़ीड में देखा है), जो आपके लिए व्यक्तिगत रूप से गोपनीयता सेटिंग्स द्वारा बंद है। शायद यह यहाँ खुदाई के लायक है
  • हर जगह CSRF टोकन विरोधी नहीं हैं
    यह वास्तव में है। लेकिन मुझे जो जगहें मिलीं, वे अनियंत्रित थीं।

अनेक वस्तुओं का संग्रह

• डिलीट होने के बाद भी फाइलें डिलीट नहीं होती हैं
  कई उपयोगकर्ताओं को इसके बारे में वैसे भी चिंता है। यदि आप शुरुआत में लेख पढ़ते हैं, तो आप यह पता लगा सकते हैं कि इसके बारे में दो संस्करण हैं - हार्ड ड्राइव पर डेटा का विखंडन और डेटा अखंडता की निगरानी की समस्या। दूसरा बिंदु वास्तव में जटिल है। उसी चित्र को हटाया जा सकता है, लेकिन इसका उपयोग कहीं और किया जा सकता है। किसी दस्तावेज़ का उपयोग करने के उदाहरण का उपयोग करके पूरे डेटाबेस का विश्लेषण करना आसान नहीं है। लेकिन ठीक है, हॉटलिंक। लेकिन दस्तावेज़ केवल स्क्रिप्ट के माध्यम से पहुंच के माध्यम से सुलभ हैं, लेकिन यहां तक ​​कि दस्तावेज़, हटाने के बाद भी उपलब्ध हैं, हालांकि सत्यापन को जोड़ना संभव होगा। तकनीकी सहायता उत्तर था: "दस्तावेज़ संदर्भ द्वारा सुलभ होगा, भले ही आप इसे हटा दें।"
• डिफ़ॉल्ट रूप से https सक्षम नहीं है
  Kaspersky से एक पत्र पर लौटना - अभी मैं आपको सलाह देता हूं कि आप अपने बुकमार्क को http से https में बदलने के लिए मजबूर करें, अगर यह पहले से ही नहीं किया गया है। अब मिटम इतना सरल है कि रूट वाला कोई भी एंड्रॉइड स्मार्टफोन पर्याप्त है। Droidsheep स्थापित है और केवल कुछ बटनों पर क्लिक करके यह VK कुकीज़ को डिक्रिप्ट करने के लिए पहले से ही चालू हो जाएगा (और न केवल) और स्वचालित रूप से उनके साथ साइट पर जाएं

कचरा

• ट्राइट, लेकिन vk.com/config.php मौजूद है :) सामान्य तौर पर, ऐसी चीजों को htdocs के लिए पास किया जाता है
• vk.com/admin.html
• vk.com/test.html
• vk.com//login.html
• vk.com/test.php
• vk.com//index.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 - PHP EGGS
• vk.com/.DS_Store - डब्ल्यूटीएफ? मैक?

और "छोटी चीजों में।" आधार साफ होने लगता है। उदाहरण के लिए, पत्राचार में उपयोगकर्ता के साथ संदेशों की सीमा बड़ी है, लेकिन पहले से ही साफ हो गई है। विभिन्न अन्य विकासों ने एक नोटबुक में कचरा छोड़ दिया।

शायद कहीं न कहीं मैंने संसाधन के काम को समझने में गलती की है और आपको ऊपर वर्णित कुछ बिंदुओं के बारे में अधिक स्पष्ट विचार हैं या कुछ का खुद अध्ययन किया है - मुझे टिप्पणियों में उन्हें सुनने और चर्चा करने में खुशी होगी।