Хакер получил доступ к текстам опросов сообществ «ВКонтакте» Статьи редакции

Пользователь, зарегистрированный «ВКонтакте» под именем Сергей Романович, обнаружил уязвимость в соцсети, которая позволяет изменять содержимое ответов в голосованиях сообществ.

Например, хакеру удалось получить доступ к ответам в голосовании сообщества «Роскомнадзора» и изменить их текст:

Аналогично с сообществом «Матч ТВ» (на момент публикации заметки публикация была удалена).

По словам хакера, баг в коде соцсети позволяет менять тексты ответов в любом голосовании сообщества — вне зависимости от времени публикации заметки. При этом, согласно правилам «ВКонтакте», автор записи может изменить её текст только в течение 24 часов с момента публикации.

По просьбе vc.ru хакер продемонстрировал уязвимость на примере заметки в сообществе vc.ru:

Хакер уже сообщил об обнаруженной уязвимости представителям соцсети. По его словам, баг не является критичным, однако он не проверял возможность автоматической блокировки сообщества — например, в случае, если в текст ответа подставить ссылку на сайт накрутки.

Представитель «ВКонтакте» сообщил vc.ru, что компания уже знает об уязвимости.

Обновлено 1 января 2016 года в 22:00. Разработчики «ВКонтакте» исправили уязвимость, благодаря которой хакер смог изменить тексты опросов в сообществах

{ "author_name": "Филипп Концаренко", "author_type": "editor", "tags": ["\u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u0430","\u043d\u043e\u0432\u043e\u0441\u0442\u044c","\u043d\u043e\u0432\u043e\u0441\u0442\u0438","\u0432\u043a\u043e\u043d\u0442\u0430\u043a\u0442\u0435","\u0431\u0430\u0433"], "comments": 25, "likes": 23, "favorites": 1, "is_advertisement": false, "subsite_label": "social", "id": 12824, "is_wide": true, "is_ugc": false, "date": "Fri, 01 Jan 2016 20:07:44 +0300", "is_special": false }
0
25 комментариев
Популярные
По порядку
Написать комментарий...

На самом деле, баг вполне несложен. В своё время я так троллил админов мелких пабликов, которые злоупотребляли перестановкой вариантов местами (например, меняли Да на Нет и т.д.). Ибо голосуешь, например, что не поддерживешь такую-то идею, а админ раз, и поменял вариант ручками, что ты поддерживаешь. Писал в поддержку, сказали, что так и должно быть, голоса не должны обнуляться при редактировании. Так что пришлось устраивать "самосуд" дебильным админам. А баг заключается в следующем (уже, наверное, пофиксили)

1. Прикрепляем по api опрос с исходными параметрами. Это, кстати, не баг -- чужие опросы на свою стену прикреплять можно с виджета опроса.
2. Полученный опрос отправляем в предложку паблику, где он опубликован (тоже по api)
3. Открываем браузер, редактируем опрос в предложенном посте с него.
4. Открываем исходный пост, наслаждаемся. Предложенный пост в паблике можно удалить

А всего-то повышение привилегии до автора поста.

з.ы. Баг не работает в группах с закрытой стеной без предложки.

10

Сказал бы чуть раньше.

1

А зачем мне это было говорить? Если бы вк хоть как-то озаботилось тем, что в течение 24 часов варианты можно редактировать как угодно, и твой голос "против" внезапно по воле дебильного админа паблика становится голосом "за", то я бы им баг слил давным-давно. Но что мне ответила поддержка? "Админ расстроится, если при редактировании опроса из-за опечатки все голоса обнулятся" и бла-бла-бла. Естественно, никого за такие шалости не банили, вот я и открыл для себя такое орудие борьбы с нечестными опросами.

Ну а сейчас чувак тупо и безбожно спалил фичу. Да ещё и бабла за это не выручит, ибо эксплуатация бага была направлена против юзеров вк.

4

Ты крут, реально крут. Всегда поражался людям, которые так нетривиально мыслят.

1

А сейчас работает такая штука?

0

Комментарий удален

По фразе "оп - ***" уже понятно происхождение хацкера.

–2

Комментарий удален

Комментарий удален

Комментарий удален

Комментарий удален

А я ничего не понял..

8

Оп - хуй

1

vc, ну пофиксайте вы уже свои баги в апп на андроиде. Молю богов. Алюминь.

3

Зачем вообще нужно приложение? Чем оно от сайта отличается?

0

Есть пуши, например.

0

Собственно я и пилю например свойц сервис, чтобы можно было получать адекватно пуши от всех сепвисов, а не жрать кактус устанавливая 100500 кривых приложений.
Но с пушами об ответах на комментарии конечно все не так просто - будем парсить почту.

–2

Не перестарайтесь с PR'ом) А то стоит произнести push, вы тут как тут :)

1

Это кстати интересная вещь, мои конкуренты как будто бы вообще не работают. Помню как то написал им комментарий с вопросом в их же свожей статье на мегамозге - они отреагировали на неё через неделю.
Бывало пару раз, когда они чуть ли не через месяц писали ответы на мои комментарии на разных сайтах. Причем у них там похоже покрупнее чем у нас отдел, своя служба поддержки и т.д. а работают медленно :)

Вообще тут еще дело не просто в пиаре, я тут скорее писал со стороны пользователя т.к. я лично получаю от VC пуши через PushAll о выходе статей, и читаю через браузер - вполне комфортно и читать и писать комментарии.

Тут скорее идет личное мнение к приложениям - я еще ни разу не видел приложения СМИ, которое было бы удобнее чем мобильная версия этого же сайта. Более того - они все как правило кривые. Более того, есть компании, которые обещают золотые горы и делают пачками эти приложения для различных СМИ на одном и том же кривом движке под копирку. Как итог, наблюдал даже официальные приложения от сайтов, которые даже 100 скачиваний набрать не могут, и оценка в районе 3. Ну и смысл от таких приложений?

У VC еще кстати решение вроде как неплохое - сами судя по всему сделали для VC и TJournal. Баги если что пофиксят. Но еще интересная вещь - у приложения VC для андроида от 5к до 10к скачиваний, причем это за все время, вполне возможно, что реальных сейчас установленных 1-2 тысячи. (еще и висеть может мертвым грузом) Что для такого популярного сайта так себе цифры.

1

Баг не критичен?
Ну значит исправят его через полгода, в лучшем случае. Ave VK.

0

Комментарий удален

не угадал

1

Так парню выплатили за баг хоть сколько-нибудь?

0

Спасибо сказали.

8

Очевидно награду он не получит, если по мимо репорта о уязвимости еще успел подшутить над крупными группами?

1

Получит, голосами) Сможет закупиться стикерамии подарками.

3

Ильдарчик красавчик

0

Нет конечно. Пускай радуется, что не забанили,

0

Интересно, а вместе с этой уязвимостью они хоть закрыли возможность редактировать опросы после их создания?

0

Комментарий удален

Так вот, чем хакеры занимаются в новогоднюю ночь

0

пофиксили (:

–1

Комментарий удален

Читать все 25 комментариев
Почему «без ТЗ результат ХЗ». Разбираем на примере CRM-систем

К нам пришел клиент, который уже пробовал внедрять CRM-систему, и принес наработки предыдущих интеграторов. У него была вроде бы работающая система, но никто ей не пользовался. В статье разберемся, почему так получается, и как делать так, чтобы такого не было.

Пример нотации согласовательного уровня Библиотека примеров BPMN
Исследование: сотрудники хотели бы иметь комнату отдыха, бесплатный сок, а работодатели уже готовы покупать ЗОЖ-снеки

Онлайн-сервис доставки продуктов и товаров СберМаркет и исследовательское агентство Research Me спросили сотрудников, как они хотели бы питаться в офисе и что в нем видеть. В опросе приняли участие более 1500 работающих людей по всей России. Сервис также спросил работодателей – В2В-клиентов СберМаркета: что они покупают в офис, что точно никогда…

Главные новости недели: Apple MacBook Pro, новое название Facebook, запрет Samsung Pay

Говорим о главных новостях недели в подкасте Telegram-канала ForGeeks. Сегодня в гостях Павел Беседин, ведущий на Европе Плюс и гик. Мы обсудили, почему новые MacBook Pro такие крутые, зачем Facebook решил поменять название, запретят ли в России Samsung Pay и когда уже выпустят Cyberpunk 2077 для PlayStation 5. Слушайте, читайте и подписывайтесь.

Сооснователь «Кухни на районе» Олег Козырев покинул компанию Статьи редакции

Но сохранил долю в бизнесе.

Travers – поиск инструкторов по активным видам спорта

Мы сделали второе приложение, раскатили сервис на всю Россию и изменили бизнес-модель. Многое благодаря пользователям vc.ru!

«Яндекс.Маркет»: в моем заказе вместо наушников оказалась бутылка из-под водки

Я давно хотела беспроводные наушники и наконец заказала себе Apple AirPods. Оформила заказ 15.10.2021 через Яндекс.Маркет в магазине Superbia.ru

Cloud CDN: что это такое, как устроено и кому нужно. Разбираем на примере бургеров

Cloud CDN — это сеть быстрой доставки статического контента в формате услуги облачного провайдера. Объяснить, как работает технология, проще всего на примере — сравнить Cloud CDN с популярным продуктом, который выглядит плюс-минус одинаково вне зависимости от того, заказали вы его в Москве, Питере или Нью-Йорке. Знакомьтесь: классический бургер.…

Бизнес на опечатках: в 50-х секретарше надоело ошибаться в документах, она взбила краску в блендере и создала корректор Статьи редакции

Бетт Несмит Грэм хотела сохранить в тайне изобретение, но о нём узнали коллеги, и она стала продавать им по 100 флаконов в месяц. О создании первых партий корректора в гараже, продажах на миллионы долларов и борьбу за управление собственной компанией — в пересказе The Hustle.

Машинистки в 1950-х. За печатной машинкой работала и сама Грэм, которая создала корректор, чтобы исправлять ошибки CNBC
Как не попасть в карьерную ловушку тимлида: личный опыт

Кажется, что тимлиду просто некуда расти: дальше надо либо идти в менеджмент, либо наоборот, становиться узконаправленным разработчиком. По просьбе «Лаборатории Касперского» Евгений Мацюк, который прошел в компании неординарный путь, рассказал о своих карьерных развилках во время и после тимлидства, а также поделился опытом горизонтального роста.

Как OTUS стал платформой для самореализации. История преподавателя

Наш преподаватель, специалист по Data Science, решил поделиться своей историей преподавания. Он рассказал, как пришел в эту сферу, с какими трудностями столкнулся на пути к преподаванию и что ему помогает. А еще поделился советами, как поддерживать внимание студентов и сделать занятия полезными и увлекательными.

«Сбер» научил свой ИИ-сервис определять возможные признаки рака на ранних стадиях по снимкам лёгких Статьи редакции

Это может помочь врачам при диагностике заболевания.

null