Издательский дом ООО "Гейм Лэнд"ЖУРНАЛ ХАКЕР #121, ЯНВАРЬ 2009 г.

В сетях соцсетей. Хакерский взгляд на социальные сети

Balashek




BBS, чаты, форумы и вот – в топе сезона социальные сети. Что ж, мода меняется, вполне закономерный процесс. Социальные сети перестали быть просто «местом» или «средством» общения. Для многих они превратились в настоящий виртуальный плацдарм реальной жизни. И человек стал намного уязвимее. Например, для такого хакера, как ты.

На первый взгляд, что может быть лучше? Теперь не нужно обзванивать десятки одноклассников в поисках затерявшегося товарища из параллельного класса или перерывать справочники в надежде наткнуться на бывших однокурсников. Достаточно зайти на соответствующий ресурс и вуа-ля - информация у тебя в кармане. Казалось бы, причин для беспокойства нет. Но один за другим следуют заявления представителей власти о том, что социальные сети будут использоваться для поиска недобросовестных заемщиков, злостных неплательщиков и прочих категорий граждан. Так что же нас ждет: онлайн-комьюнити или очередное средство тотального контроля со стороны государства? И что таят в себе социальные сети? Ответы на эти вопросы ты не найдешь в моей статье. Я лишь покажу тебе, где - правда, а где - ложь. Приступим к разбору полетов!

Всегда начеку

Чего же стоит опасаться при регулярном общении в социальных сетях? Однозначно ответить на этот вопрос нельзя, так как он напрямую связан с тобой и с твоим образом жизни. Поэтому я приведу перечень возможных угроз с кратким пояснением, а ты уже выбирай сам, чего стоит опасаться, а чего – нет. Итак:

  1. Сбор личных данных о тебе (речь идет о той инфе, которую многие опрометчиво постят в своем профиле: рабочие ники, реальные номера своих телефонов, имена, адреса, место учебы/работы и далее по списку). Здесь все зависит от того, кто может тобой интересоваться и какие данные о себе ты оставил. Как вариант - вбить левую инфу.
  2. Вербовка дропов (в последнее время участились случаи предложения «полулегальной» работы на просторах Вконтакте, а попросту - поиск и вербовка дропов под самые грязные цели). Будь внимателен и осторожен, не ведись на заманчивые предложения поработать в «сфере финансов». Помни - легких денег не бывает.
  3. Спам (как правило, - реклама, а также флуд, что еще неприятнее).
  4. Несанкционированный доступ к личным сообщения (тут, я думаю, комментарии излишни). Следовательно - нежелательно обсуждать насущные проблемы в социальных сетях.

В общем, суть основных тенденций я тебе показал, далее - думай сам. Кроме того, мне известны случаи успешного поиска людей органами (и не только) через соц. сети. Выводы делай сам.

Спам/флуд/брут/чекинг

Высокая популярность таких социальных сетей, как www.vkontakte.ru и www.odnoklassniki.ru, не могла остаться незамеченной в хак-комьюнити. Следствием стало появление целого набора инструментов для спама/флуда/брута/чекинга аккаунтов на соответствующих ресурсах. Дабы не запутаться в разнообразии софта и скриптов, (часть из которых на данный момент уже не актуальна), я познакомлю тебя с несколькими достойными экземплярами из своей коллекции. Начнем, как водится, по порядку, то есть - со спама.

Рекомендую обратить внимание на пхп-скрипт от Chaak'a - «Vkontakte PM spamer». Он выгодно отличается от подобных утил тем, что умеет рассылать сообщения качественно и быстро :). Автор определил следующие возможности скрипта:

  • Рассылка по друзьям аккаунта
  • Ротация сообщений
  • Ротация тем
  • Возможность подставления имен, тегами [name] и [lastname]
  • Возможность установки задержки
  • Возможность установки прокси
  • Логирование неудачных отправок сообщений
  • Ajax
  • Открытый исходный код

Для успешной работы необходимо залить скрипт на сервер или удаленный шелл, выставить на все тхт-файлы чмод 777 и разобраться с тегами:

  • [name] - имя
  • [lastname] - фамилия
  • [:] - разделитель между сообщениями (для добавления сообщения через форму в файле сообщений должно быть, минимум, 1 сообщение без разделителя).

Скрипт требует наличия cURL на сервере, так что будь внимателен. Вообще, спам Вконтакте уже порядком задолбал :). Так что, переходим к следующей не менее полезной проге – «Vkontakte.ru TOOLs» от Smapt'а.

Утила предназначена для восстановления паролей и поможет тебе сбрутить пасс к выбранному аккаунту Вконтакте. Программа обладает гуи-интерфейсом и неплохой скоростью: на канале в 1 мб/сек при 70 потоках скорость перебора составляет около 50 паролей в секунду. Еще один, но уже перловый брутер Вконтакте – «vkontakte.ru bruteforce with multi-threads» от C!klodoL'а. В использовании скрипт прост и удобен:

1. Сливаем ActivePerl посвежее.

2. Указываем следующие данные в теле скрипта:

$dic = 'passl.txt'; #словарь паролей
$id = 111111; #id цели $mail = 'mail%40mail.com'; #мыло, вместо @ вписать %40
$threads = 4; #количество потоков

3. Запускаем и ждем.

4. В случае успешного брута появится файл good.txt с паролями.

Не остались в стороне и Одноклассники. Примером тому служит чекер аккаунтов «Odnaklassniki cheker» от Vid0k'а, написанный на PHP. Скрипт получился удачным, поэтому обрати внимание на сорец (ищи его на нашем DVD).

Кроме того, существует множество фишек, которые присутствуют Вконтакте и на Одноклассниках (впрочем, надо отдать должное администрации обоих ресурсов, которая делает все, чтобы вовремя залатать все найденные баги и ограничить работоспособность хак-софта). Например, в Вконтакте можно писать сообщения подчеркнутым текстом. Для этого на следующей строчке под каждой буквой необходимо вставить набор символов «¯» (без кавычек). То есть, сколько символов содержит твое сообщение, столько наборов «¯» должно быть на строчке ниже.

Еще один занимательный пример - написание текста в обратном порядке. Для этого нужно перед сообщением вставить набор символов «‮» (без кавычек).
Для просмотра закрытого профиля анкеты Вконтакте требуется:

1. Узнать ID анкеты. Делается это просто – наводим мышку на «Друзья ИМЯ». Копируем ссылку http://vkontakte.ru/friend.php?id=ЦИФРЫ. ЦИФРЫ после «id=» и есть ID профиля.

2. Копируем эти цифры и вставляем в нужные нам ссылки:

  • Фотографии со мной: http://vkontakte.ru/photos.php?act=user&id=ЦИФРЫ
  • Фотоальбомы: http://vkontakte.ru/photos.php?id=ЦИФРЫ
  • Видеозаписи: http://vkontakte.ru/video.php?id=ЦИФРЫ
  • Заметки: http://vkontakte.ru/notes.php?id=ЦИФРЫ
  • Мнения о человеке: http://vkontakte.ru/opinions.php?id=ЦИФРЫ

Причем, это еще далеко не все!

Порывшись в каталогах Вконтакте, можно найти много занимательной инфы, как, например, по этому линку:

http://vkontakte.ru/infested_ip_list.html

Список IP-адресов, 100% использованных (и используемых) при организации DDoS на сайт vkontakte.ru. The List of 17029 Infested IP Addresse:

121.0.133.32
121.0.134.65
121.0.134.70
121.0.135.1
121.0.135.124
121.0.135.14
121.0.135.34
12.107.192.164
121.100.111.216
121.100.96.91
121.11.132.44
121.11.174.93
121.11.182.39
121.11.183.185
121.11.185.147
121.124.193.6
121.125.101.160
121.125.205.51
121.125.241.60

Кто знает, быть может, ты обнаружишь в этом списке IP своих ботов :). Также настоятельно рекомендую тебе просмотреть следующие линки:

http://vkontakte.ru/test.html
http://vkontakte.ru/admin.html
http://vkontakte.ru/captcha.php
http://vkontakte.ru/index.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000

Надо признать, что администрация Вконтакте - весьма веселые люди со вполне здоровым чувством юмора, за что им большой респект :). А тебе я желаю удачи в поисках новых багов и не забывай про элементарные меры личной безопасности на просторах виртуального пространства.

Danger

Внимание! Информация представлена исключительно с целью ознакомления! Ни автор, ни редакция за твои действия ответственности не несут!

Info

При выборе брутера/чекера аккаунтов учитывай, что время их жизни недолгое – администрация Вконтакте оперативно реагирует на ежедневно появляющийся хакерский софт и найденные баги.

Никогда не оставляй личных данных на просторах социальных сетей. А лучше всего - вбей левую инфу!

Содержание