Уязвимость ВКонтакте: доступ к превью фотографий из диалогов и скрытых альбомов любого пользователя
- Вконтакте API ,
- Информационная безопасность
Коротко
Была обнаружена уязвимость в мобильной версии сайта vk.com. Она позволяла просматривать превью скрытых фотографий, в том числе фотографии из диалогов пользователей, плюс можно было получить информацию о пользователях лайкнувших это скрытое фото. На данный момент уязвимости уже нет - её устранили полгода назад. ВКонтакте выразили благодарность в размере 700$ (нет, не в голосах).С чего всё начиналось
Во время сессии отвлекаешься на все, лишь бы не готовиться к экзаменам. Так и я, увидев о Bug Bounty программе от ВКонтакте на hackerone.com, вместо подготовки к экзаменам, взялся искать уязвимости. Почему-то сразу потянуло искать уязвимости, связанные с фотографиями скрытыми настройками приватности, и как оказалось - не зря.Поиск уязвимости на полной версии сайта
Предположив, что id скрытой фотографии мне известен (о его поиске - ниже), я начал пробовать подставлять этот id во всевозможные запросы curl"ом - пробовал сохранять скрытые изображения в свой альбом, отмечать себя на них, лайкать, репостить и т.п. ничего не давало положительный результат, пока я не попробовал просто отправить скрытую фотографию себе на стену. Результат был странным - в консоли запрос возвращал корректный результат и на стене появлялся новый пост, но его содержимое было пустым. Как я не старался, на сервере пресекались все попытки отправить скрытое фото на стену - посты были пустыми.Переход на мобильную версию
Затем, я вспомнил комментарий и решил попробовать сделать то же самое в мобильной версии сайта.
Отправляем фото на стену:
Curl "http://m.vk.com/wall53083705" -H "Cookie: remixsid=#remixsid" --data "act=post&hash=#hash&attach1_type=photo&attach1=idВладельцаФото_idСкрытогоФото"
# id фотографии состоит из двух частей разделенных знаком подчеркивания idВладельцаФото_idСкрытогоФото
Этот запрос выполнился не корректно, но обновив страницу, я с удивлением обнаружил, что на форме отправки появилась прикрепленная уменьшенная копия фотографии.
Максимальный размер фотографии - 130x130, но этого достаточно, чтобы, например, распознать лица на фото. Попытки получить ссылку на полное фото ни к чему не привели. Видимо, после закрытия уязвимости, с мобильной версии сайта прямые ссылки на полный размер просто так уже не получить.
Перебор фотографий
Уязвимость найдена. Для эксплуатации найденной уязвимости нужно получить id атакуемой фотографии.Id фотографии состоит из двух частей: photo12345_330000000 (idВладельца_idФото), вторая часть - растет от фотографии к фотографии, но это не обычный автоинкремент. Так как алгоритм выбора шага неизвестен, будем перебирать с шагом 1.
Для перебора воспользуемся методом api photos.delete . Данный метод для всех существующих фотографий (в том числе и скрытых) вернет error_code : 15. А для всех несуществующих id фотографий вернется единица.
Скорость перебора
Из можно узнать, как быстро перебирать фотографии. Да, данные в ней не самые новые, но даже если учесть, что за год фотографий стало в два раза больше, время перебора все равно остается приемлемым.чтобы узнать прямые ссылки на фотки юзера, допустим, за прошлый год, нужно перебрать всего лишь 30 млн (от _320000000 до _350000000) различных вариаций ссылок
Воспользовавшись ускорениями перебора из указанной статьи, фотографии пользователя можно было бы перебрать:
за 1 минуту получить все ваши вчерашние фотографии, за 7 минут - все фото, загруженные на прошлой неделе, за 20 минут - прошлый месяц, за 2 часа - прошлый год.
Отсев открытых/скрытых
Получив ссылки на все (и скрытые и открытые) фотографии пользователя, можно выбрать только скрытые, попробовав получить информацию о фотографии с помощью метода photos.getById. Те фотографии, информация о которых не возвращается этим методом - являются скрытыми.Информация о лайкнувших пользователях
Также можно было узнать пользователей, которые поставили лайки на скрытое фото. Метод likes.getList возвращал всех пользователей, которые добавили заданный объект в свой список мне нравится, даже если этот объект скрыт для пользователя запускающего этот метод.Репорт на hackerone
Мой репорт был открыт в июне. Закрыли уязвимость через два с половиной месяца, ничего мне не сообщив. Еще через месяц я получил ответ что уязвимость подтверждена и закрыта. А еще через какое-то время получил и вознаграждение.P.S.: тем, кто впервые пытается вывести вознаграждение с hackerone.com на новый аккаунт paypal - советую внимательно прочитать условия. Paypal при переводе средств, может без вашего согласия конвертнуть вознаграждение в валюту страны указанной в вашем профиле.
В статье мы разберем способы, позволяющие просмотреть закрытые фотографии пользователей социальной сети ВКонтакте. Кажется, что для этого нужно иметь хакерские способности или воспользоваться сложными программами. На деле, все гораздо проще.
Как просматривать скрытые картинки в ВК
Технологии постоянно развиваются, и штат программистов популярного веб-ресурса постоянно устраняет недочеты, поэтому предоставленные ниже методы могут и не работать. Тем не менее, стоит попробовать.
Вариант №1: замена адреса альбома
Данный метод заключается в том, что понадобится заменить персональный ID на сторонний. Предварительно его нужно скопировать со страницы пользователя, чьи фотографии необходимо увидеть. После вставки чужого ID в свой URL, снимки станут доступны. Алгоритм действий состоит из таких шагов:
- Нужно скопировать ID и вставить в адрес после слова albums;
- Выглядит он следующим образом:
- Остается нажать «Enter».
Теперь доступен просмотр закрытых фотографий Вконтакте.
Вариант №2: скоростное «прощелкивание»
Этот метод имеется специфическое название неспроста, поскольку выполняется в определенных условиях. Он срабатывает тогда, когда от посторонних пользователей человек скрыл не все фотографии альбома, а только часть из них. Что необходимо сделать:
- Выберите пользователя, скрытые картинки которого следует просмотреть;
- Перейдите к альбому, в котором наверняка есть приватные фото;
- В нижней части страницы имеется функция «Активировать быстрый просмотр»;
- Остается остановиться на фотографии, после которой имеется скрытая.
- При включенном «ускоренном просмотре» быстрый щелчок по этому изображению перенесет вас на следующее, и остановится. При этом скрытое фото станет доступно.
Теперь можно смотреть отдельные «пикчи».
Вариант №3: временный баг
Небольшая неточность в настройках сайта позволит пользователям просмотреть скрытые изображения. При этом может быть закрыт не только альбом, но и страница участника целиком. Требуется воспользоваться следующим руководством:
- Найдите страницу, которая скрыта от вас;
- Нажмите на аватарку и посмотрите, есть ли там еще несколько фотографий, чтобы по ним можно было переходить при нажатии;
- Следующие действия необходимо выполнить крайне быстро;
- Сначала кликните на любой пункт из меню слева;
- Затем резко щелкните на аватарку участника.
- Появится окно со всеми его альбомами и изображениями, также в них будут присутствовать и закрытые фотографии ВК.
Возможно, с первого раза не получится, поскольку вариант требует сноровки и реакции.
Вариант №4: используем сайт Павла Дурова
Ранее данный метод был крайне популярен, потому что его использование не было запрещено. Необходимо перейти на официальный веб-ресурс создателя социальной сети Павла Дурова по адресу durov.ru. Абсолютно все данные всех участников ВК имелись и там, разве что параметры приватности были убраны. Поэтому через него можно было воспользоваться первым методом и поставить айди на чужой.
После решетки нужно вставить айди другого участника, затем войти в нужный альбом и без труда просмотреть все фотографии. Самое главное, по закону ничего нарушено не было. В настоящее время в интернете различные площадки предлагают людям всевозможные программы со «многими удивительными функциями». Не нужно их испытывать, так вы лишь потратить деньги, время и нервы, а результата не будет. Если ни один из указанных в статье методов уже не работает – не ищите другие.
Изображения в ленте в ВК появляются всякий раз, когда вы загружаете снимки не в определенный альбом, а к себе на стену. Функция отображения снимков в ленте над стеной появилась в ВК сравнительно недавно.
С помощью нее можно быстро просматривать новые фотографии своих друзей, ставить лайки и оставлять комментарии не просматривая весь альбом друга. Лента с фото видна всем пользователям ВК, если вы не скрыли доступ к ней в настройках. Снимки из ленты достаточно просто убрать. Можно нажать на крестик, который располагается на каждой миниатюре справа. Но так ли просто вернуть фотографии в ленту Вконтакте?
Как вернуть фото в ленту Вконтакте
Когда вы нажимаете на крестик для того чтобы скрыть миниатюру фотографии из ленты, внизу появляется уведомление о том, что снимок больше не будет показан. Также в этой записи присутствует кнопка «отмена». Чтобы вернуть фото в ленту Вконтакте, надо кликнуть на эту кнопку. Если вы скрыли фото и обновили страницу, то вернуть фото обратно в ленту за пару кликов никак нельзя.
Можно снова загрузить их к себе на страницу. Нажмите на ссылку в ленте «добавить фотографии» и залейте фото заново.
Снимки, которые вы скрыли из ленты, все равно присутствуют на вашей странице. Для того, чтобы увидеть их, достаточно щелкнуть по любому оставшемуся изображению, и вы увидите все фото, которые находятся в ленте. Также это смогут сделать ваши и . Быстрый показ изображений в ленте удобен тем, что пользователи, которые посещают вашу страницу, могут больше узнать о вас. Особенно привлекательным это будет для тех, кто использует ВК не только для знакомств и коммуникации с друзьями, но и для повышения своей .
Если же, вы не желаете показывать информацию о себе, то лучше всего будет вообще убрать ленту с профиля и оставить закрытые альбомы только для близких друзей.
Как скрыть ленту фотографий Вконтакте
Скрыть ленту фотографий Вконтакте, возможно нажимая на крестик вверху каждой миниатюры, показанной в ленте. Когда вы совершаете данное действие, на месте скрытой фотографии появляется ранее загруженная. Убирать изображения таким способом достаточно удобно, если у вас в ВК совсем мало фотографий.
Если снимков много, то убрать их от посторонних глаз помогут настройки приватности.
- Откройте раздел настроек вашего профиля. Он находятся слева в вашем профиле.
- Затем, перейдите во вкладку приватность, которая находится в верхней панели меню.
- В подразделе «Моя страница» вы увидите пункт «Карта с моими фотографиями». Напротив него вы можете указать доступ к вашим фото для всех пользователей, некоторых друзей или же только для вас. Для того чтобы никто не смог просматривать ленту кликните на пункт «Только я».
- Когда вы не хотите показывать фото только вашим некоторым друзьям, щелкните на пункт «Все кроме» и из списка выберите тех, кому нельзя будет просматривать снимки.
Если вы скрыли только фото из ленты, но не из альбомов, то у пользователей все равно остается доступ к просмотру ваших альбомов и . Чтобы скрыть доступ к целому альбому, откройте все фото из него. Перейдите во вкладку «Редактировать альбом». Отметьте, кому вы желаете его показывать. Также вы можете редактировать настройку комментариев к каждому альбому.
70 329 205 2
Часто случается, что позарез необходимо посмотреть фотографии закрытого профиля VK. Как известно, любой пользователь имеет возможность самостоятельно выбирать уровень приватности своего профиля, так что закрыть весь альбом, или отдельные фотографии – это дело нескольких кликов. Оказывается, смотреть закрытые фото можно! Есть определенные хитрости, и «дыры», об одной из которых мы вам сегодня и расскажем.
Имейте в виду, что все они оперативно закрываются, так что не факт, что этот, как и любой другой способ, будет действительный через неделю или месяц.
Вам понадобятся:
Открываем исходный код
Для начала попытайтесь . Если альбомы не открываются, то действуем следующим образом. Итак, открываем профиль человека, чьи фотографии мы хотим посмотреть. Далее, нам нужно открыть исходный код этой страницы.
Для этого нажмите правой кнопкой мыши по свободной области, и в контекстном меню ищите пункт «Посмотреть исходный код страницы», «Просмотр кода элемента», или тому подобное. Также, можно воспользоваться клавишей F12, если у вас Google Chrome. Итак, перед нами исходный код страницы. Что дальше?
Ищем нужный фрагмент
При помощи комбинации клавиш Ctrl+F открываем строку поиска, и вводим туда слово «albums».
Результатов будет несколько, но нам нужен тот, после которого будут идти цифры (это ID профиля). Как правило, в выдаче этот фрагмент будет третьим с начала. Нашли? Отлично, скопируйте их при помощи комбинации клавиш Ctrl+C.
Работаем с адресной строкой
Итак, мы имеем необходимый фрагмент кода. Что дальше? Для того, чтобы посмотреть скрытые фотографии в Контакте, вернитесь на необходимую страницу (страничка с исходным кодом нам больше не понадобиться).
В адресной строке браузера мы видим ссылку, типа vk.com/id#####, где #### – ID страницы. Вы должны знать, и друзей. Ставим курсор на конец адресной строки, и вводим в нее символы: «?z=», после чего копируем сюда тот фрагмент из исходного кода страницы, который мы искали.
В результате, в адресной строке браузера должно быть следующее: vk.com/id####?z=albums####, где #### – это ID человека.
Нажимаем Enter, и перед нами открываются все фотографии человека.
Таким нехитрым способом можно посмотреть фото в закрытом альбоме в контакте, а также увидеть список альбомов тех людей, кто удалился из друзей Вконтакте или незнакомых пользователей.
Частые "вопросы-ответы"
Как смотреть закрытый альбом пользователя вк через телефон?
Инструкция для просмотра такая же как и с компьютера.
Какие скрытые возможности вконтакте?
1. Если зайти в раздел "Настройки" и во вкладке "Общее" изменить язык на дореволюционный или советский, то интерфейс Вконтакте немного изменится.
2. Если хотите, чтобы на личной страничке некоторая информация о вас оставалась пустой, то добавьте в таких полях код.
3. Вы можете в графе "Место работы" сделать активную ссылку на любую группу Вконтакте. Для этого перейдите в раздел "Редактировать", выберите вкладку "Карьера" и в пункте "Место работы" напишите название сообщества, в котором состоите.
4. В разделе "Настройки" id можно поменять на короткий и запоминающийся адрес.
Какой сервис, чтобы смотреть скрытые фото в контакте?
Необходимо найти фотографию человека, на которой он отмечен, после чего перейти к ускоренному просмотру и пролистывать фото. Несмотря на то, что обыкновенный доступ к ним закрыт, просмотреть их удастся. Эту «дыру» техническая служба пока устранить не в состоянии.
Как посмотреть закрытый аккаунт в вк?
Для просмотра закрытого профиля требуется:
1. Узнать ID анкеты. наводим мышку на "Друзья ИМЯ". Копируем ссылку.
2. *[ссылка заблокирована по решению администрации проекта].
3. Цифры после "id=" и есть ID профиля.
Копируем эти цифры и вставляем в нужные ссылки.
Кому можно смотреть фотографии вконтакте?
В зависимости от того, кому вы дали доступ до ваших фото.
Как увидеть все фото в контакте?
Данная информация описана в статье.
Как посмотреть фото группы в контакте?
Найдите группу или страницу по интересам, затем выберите пункт чуть ниже поисковой строки «Сообщества». Потом чуть правее вы увидите «Тип сообщества» (поставьте отметку напротив: любой, группа, страница, встреча) и нажмите поиск. Откроется список групп, в которых выберите себе подходящие. Если группа открытая, вы без проблем сможете посмотреть все ее содержимое: аудио, видео, фото, обсуждения.
Если вы зашли на страницу закрытой группы, обратите внимание на верхний правый угол под фотографией. Там будет написано: «Подписаться» (на страницу) или «Подать заявку» (в группу).
Подождите некоторое время, так как ваша заявка рассматривается администраторами группы. Если они одобрят, то группа появится в списке на вашей странице. Теперь вы можете просматривать все содержимое группы.
Инструкция
В случае если страница с фотографиями заблокирована, то посмотрите на адресную строку (сверху появляется адрес страницы куда вы вошли). В этой строке вы увидите надпись http://vkontakte.ru/id(цифры). Вам необходимо скопировать id пользователя, чьи фотографии вы хотите посмотреть. Например http://vkontakte.ru/id123 , где число в конце ссылки (123) и есть искомое id.
Зайдите на сайт http://susla.ru/ Сразу же вы увидите главную страницу с краткой инструкцией и окном для ввода с надписью "Сюда". В это окошко вставляем или вводим скопированный id и жмем "Смотреть". После нажатия вы перейдете на новую страницу, где высветятся все фотографии искомого пользователя.
Щелкните по появившимся фотографиям. Они будут высвечиваться в полном размере. Вы можете свободно их просматривать. В случае если на странице пользователя нет фотографий, высветится надпись "Нету".
Видео по теме
Обратите внимание
Часто для просмотра чужих страниц и фотографий предлагают воспользоваться различными программами, которые требуют установки. Подобные программы с вероятностью 99% являются вирусами. Ни в коем случае не устанавливайте их, а если установили - немедленно удалите и проверьте ваш компьютер антивирусом
Источники:
- как просмотреть фотоальбомы вконтакте
Любопытство иной раз подстегивает посмотреть на фотографии с событий, посещенных другом или коллегой. Очень хочется посмотреть, как знакомый ведет себя на официальном заседании или на неформальной тусовке. Социальные сети и некоторые форумы позволяют увидеть такие кадры, разумеется, если не запрещает сам владелец учетной записи.
Вам понадобится
- Компьютер с подключением к интернету.
Инструкция
В социальной сети “Facebook” также нужно на страницу пользователя и под его главной фотографией строку “Photos”. На новой странице фотоальбомы пользователя и отдельные фото, на которых он отмечен. Открывайте и листайте описанным выше способом.
Видео по теме
Обратите внимание
Некоторые фотографии могут быть защищены настройками приватности. Не удивляйтесь, если какие-то кадры вам посмотреть не удастся по этой причине.
Чаще всего нужда в блокировке собственной страницы в социальной сети «ВКонтакте» возникает тогда, когда либо необходимость в ней пропадает, либо когда недоброжелатели пытаются так или иначе опозорить пользователя. Сделать блокировку не так сложно.
Стоит отметить, что администрация социальной сети «ВКонтакте» крайне нежелательно относиться к блокировке чужих аккаунтов. Это в первую очередь связано с тем, что статистика сайта в таких случаях будет падать, а как известно, «ВКонтакте» очень любит показать людям, что они популярны. Таким образом получается, что для блокировки нежелательного аккаунта требуется весомый довод, то есть серьезное нарушение правил самой социальной сети. Если этого нет, то заблокировать аккаунт вряд ли получится, хотя есть несколько способов, которые помогут осуществить задуманное.
Нарушение правил сайта
Как было сказано выше, администрация без проблем может заблокировать пользователя, нарушающего правила социальной сети. Разумеется, эти правила читает далеко не каждый и еще больше людей регулярно их нарушают. В итоге получается, что при желании пользователь, желающий заблокировать другой аккаунт может написать администрации социальной сети «ВКонтакте» соответствующую жалобу. После того как ее рассмотрят и если администрации удостоверится в том, что пользователь нарушил правила, то его страницу немедленно заблокируют.
Неверные и неточные данные
Заблокировать «ВКонтакте» можно, если пользователь указал неверные или неточные данные. То есть, пользователю требуется найти подобную информацию на странице недоброжелателя. Например, если аватарка не является фотографией владельца аккаунта, либо если он указал неточные (ложные) сведения о себе (ФИО и т.п.), то можно с легкостью пожаловаться на нарушение правил сайта и требовать блокировки аккаунта.
Копипаст
Копипаст (скопированный текст) тоже может являться причиной блокировки аккаунта. Для этого требуется найти именно тот сайт, с которого был скопирован текст и написать владельцу этого ресурса о том, что его информация была опубликована в социальной сети «ВКонтакте» конкретным лицом (нужно указать адрес страницы, на которой хранится текст и адрес владельца страницы). Одновременно с этим нужно отправит жалобу администрации. В результате проверки аккаунт недоброжелателя, скорее всего, заблокируют.
Нелегальное размещение материалов
Нелегальные видео или аудиозаписи тоже являются поводом для блокировки чужой страницы. Как известно, авторские права нарушать нельзя, а использование пиратских аудио и видеозаписей как раз нарушают закон. Пользователю достаточно написать администрации, что на указанной странице размещаются нелицензионные материалы, которые нарушают права.
Не стоит забывать о том, что в техподдержке «ВКонтакте» работают люди. В случае распространения клеветы или оскорблений на вас, вы также можете попросить удалить аккаунт недоброжелателя. Скорее всего, администрация войдет в ваше положение и прислушается к просьбе.
