ololo security fail или устраиваем дефейс Вконтакте

Слухи, слухи, слухи. Настал час написать виновнику торжества пару строк.
Три вопроса: «кто?» ,«как?» и «почему?».

На один я отвечу.
Такая структура как Вконтакте вкладывает огромные средства на обеспечение безопасности и думать, что её можно взломать найдя какую-то лазейку в коде может только безнадежный оптимист. Единственный способ взлома- проникнуть в администрацию и получить права. Именно этим я и занялся.

Осенью 2009 года был назначен модератором, завел друзей среди себе подобных, чуть позже был слит с модеров, обитал среди них в разных подобиях- фейков у меня было предостаточно (назначали те же друзья-модераторы), некоторые фейки слили, но некоторые укоренились в системе. Так я получал нужную мне информацию.

Идея пришла мне в марте месяце и я начал действовать. Список переводчиков у меня был и путем утомительного тонкого троллинга получил права лэнгпакера. Хотел устроить веселье на первое апреля, но накануне у меня пропала заветная кнопочка… Потом, как оказалось, ВК устроил свое веселье с дореволюционным языком.

Время шло, были другие интересы, но в один прекрасный день эта самая идея вернулась ко мне. И я опять начал тонко троллить. Завязалась дружеская переписка в асе с одним лэнгпакером и в результате этого мой основной профиль получил заветную кнопочку.

Порой приходилось судорожно проверять наличие прав переводчика.

Вот и настал день ИКС. Я проснулся, достал с-под дивана нэтбук и расплылся в довольной улыбке- кнопка была на месте. Переустановил для надежности огнелис и прикрутил на него iMacros. Назначил двух фейков. На первом фейке я открыл вкладку Global лэнгпака, нашел строчки с боковым меню и нажал в макросе кнопку «запись». Всё, готов. Стационарник тихо шумел, я откинулся на кресле и думал зачем мне это надо.

Хотел начать в 20:10, чтобы красиво было, но задержался и начал чуть позже. Лениво кликая мышкой я подменил всё боковое меню… Ну почти всё («Бажання» — это новый пункт и мне было лень его искать). После нажатия «Застосувати змiни» веселье началось. Остановил и сохранил макрос.

Паника, горы писем на почту и ужас в техподдержке ВК. В это время возростает колличество запросов в гугле. Когда администрация все-таки взялась исправлять это я запустил макрос. Он работал пока фейка не удалили. Со второго фейка поздравил страну с праздником и сам всё назад исправил.


Потом умер и второй фейк.

Я мог бы потратить на 5 минут больше и изменить весь украинский интерфейс до последней буквы, но это шутка, а не разгром.

Интерфейс переводчика.
habreffect.ru/files/929/49dd65e3b/pages.jpg
habreffect.ru/files/704/b21a888d4/Profile.jpg

Так выглядит то самое боковое меню в лэнгпаке.
habreffect.ru/files/4c8/c1b003ccd/global.png

Вот что пишут в группе модераторов.
habreffect.ru/files/5ca/8e5179998/kanceljaria.jpg

Лукьяненко Рома


Источник: Хабрахабр - Информационная безопасность
Оригинальная страница: ololo security fail или устраиваем дефейс Вконтакте