korishxp May 22 2016 at 16:27

Как новый телефон помог найти уязвимость Вконтакте

1 min

23K

Information Security*

-5

Comments 19

vilgeforce May 22 2016 at 16:56

Подробностей нет: что, как, куда отправлялось и так далее. Но баг, если он был, интересный.

Bo0oM May 22 2016 at 16:59

Подобные «уязвимости» есть и в других соцсетях. Linkedin, facebook, twitter, instagram…

gearbox May 22 2016 at 19:48

Так а уязвимость то в чем? Что Вы смогли сделать чего делать мочь не должны были?

VolCh May 22 2016 at 20:02

Определить личность по номеру телефона

+15

gearbox May 23 2016 at 14:47

Так, что то я в голове Вас смоделировал, и меня не получается.

Их было несколько но суть поиска мне стала ясна и я записал несколько неизвестных мне номеров в телефонную книгу

То есть на голый телефон вк сам предложил Вам какие то телефоны, а после добавления их — вы узнаете кто они в вк? То есть многократно повторив — можно слить базу? (просто в статье нигде не упомянут момент того что вы подсовываете вк номер телефона а он вам на него сливает пользователя)

NikitosZs May 25 2016 at 08:31

>я записал несколько неизвестных мне номеров
Человек сам записал номера наугад, ну чего придираться.

gearbox May 25 2016 at 10:02

Я не придираюсь, я пытаюсь понять — он записал эти номера из головы или он записал неизвестные ему номера предложенные вк.
Ага, ниже расписали, ok.

andreymal May 25 2016 at 08:31

Попробую угадать: путём добавления левого мобильника в контакты можно было узнать, к какой учётке этот мобильник привязан. С учётом того, что ВК просит и старается логины прятать — вполне себе решето. А потом баг пофиксили по-тихому и ответили, что его типа никогда и не было, на что автор, собственно, и обиделся.

korishxp May 25 2016 at 08:32

Совершенно верно.

m_hamlet May 22 2016 at 22:13

В Facebook, например, это вполне нормально. В поиск можно ввести номер телефона и найти пользователя.

Dreyk May 23 2016 at 12:10

насколькоя помню, это возможно только если пользователь разрешил себя находить по номеру телефона

edogs May 24 2016 at 16:23

Точнее: если пользователь не запретил находить себя по номеру телефона.

krimtsev May 22 2016 at 23:30

Не Вы первый, не Вы последний… до Вас тут руки тоже опускались у некоторых.
Пора уже осознать, что ВК без Павла не торт

-3

monah_tuk May 23 2016 at 09:12

Объясните, зачем оно вообще нужно? Найти "друга детства", с которым не общались 100500 лет и с которым бы столько же не общались ещё и поностальгировать? Или первую любовь, живущую вторым браком, с детьми и с талией явно большей, чем в момент первой встречи? Вот зачем всё это нужно?

Люди возмущаются (здесь и вообще везде воспринимайте текст с некоторой долей иронии) тотальной слежке, программе ПРИЗМ, всяким СОРМам (естественно после срывов покровов), но при этом добровольно выкладывают сведения о себе вообще мало пойми кому.

PS для чего это нужно владельцам данных сетей я прекрасно понимаю :)

ferosod May 25 2016 at 08:32

Павел, перелогиньтесь

monah_tuk May 23 2016 at 09:01

Просто не указывайте свои персональные данные во всяких там сетях. И до них, при желании, можно было найти нужных людей, а для общения на форумах, IRC хватало просто ника, что не мешало, в некоторых случаях, даже семьи строить :)

PS К сожалению, всё меньше сервисов, которые не пытаются вымогать, номер телефона.

boris768 May 25 2016 at 08:32

На самом деле очень интересная уязвимость в такой ситуации — есть номер телефона, который необходимо «пробить» — добавляете в адресную книгу и узнаете кто это (ну или в несколько более худшем случае — получаете возможность пообщаться с ним или его друзьями). Беда в том, что настройки приватности не спрячут вашу страницу от чужих глаз — имя будет указано. Если не какого-то прямого взлома, то для социнжерии точно полезный хак.

korishxp May 25 2016 at 08:33

К сожалению мне ответили что это не является уязвимостью.

boris768 May 25 2016 at 19:07

Таков, к сожалению, VK, не так давно из песочницы вышла статья о том, как можно было нарушить приватность постов, сделанных от имени группы, там тоже аккаунт автора заблокировали насовсем.

Show the best of all time