Как обойти авторизацию через вк на

Как обойти авторизацию через «ВКонтакте» для Pornhub и других сайтов. Четыре простых способа для каждого

Только в России Pornhub требует от своих пользователей авторизацию через «ВКонтакте» для подтверждения их возраста, что заставляет сомневаться в том, насколько безопасно компания обращается с личными данными. Для тех, кто хочет продолжать заходить на Pornhub анонимно, есть несколько довольно простых способов обойти авторизацию. Подходящий найдётся и для тех, кто пользуется сайтом редко, и для тех, кто без любимых видео и дня прожить не может.

Днём 11 декабря аналитики Pornhub опубликовали итоги года, где расписали, сколько времени среднестатистический житель каждой страны смотрит порновидео, какие порнозвёзды ему нравятся, какой жанр видео для взрослых он предпочитает и многое другое. Россиян компания вниманием тоже не обошла.

Итоги были настолько детальными, что мы в Medialeaks задались вопросом, а действительно ли весь этот объём данных, которые Pornhub о вас собирает, хорошо защищён. Для этого мы попытались разобраться, в каких отношениях Pornhub находится с Роскомнадзором, который до сих пор не заблокировал сайт, и со «ВКонтакте». Учитывая, что только в России Pornhub просит своих пользователей авторизовываться через соцсеть, сливающую информацию силовикам, причины опасаться за свою личную информацию есть.

Однако это не значит, что от просмотра видео на Pornhub стоит отказываться совсем. Существует несколько разных способов обойти авторизацию на сайте через «ВКонтакте», чтобы избежать возможной утечки своих личных данных. О некоторых из них нам рассказали наши подписчики, некоторые мы нашли сами. И удобный способ найдётся для каждого.

Один из самых простых способов не авторизовываться через «ВКонтакте» — воспользоваться VPN. Тогда весь ваш трафик в зашифрованном виде будет проходить через сервер, адрес которого может принадлежать другой стране, а значит, ни сайты, ни провайдер не увидят, откуда именно вы заходите в интернет.

Казалось бы, логичнее всего для входа на Pornhub воспользоваться VPN-сервисом, запущенным самим сайтом для взрослых. В мае этого года компания выпустила VPNhub, но бесплатно он работает только на мобильных устройствах. На десктопе за возможность неограниченно сёрфить и при этом оставаться анонимным придётся выложить кругленькую сумму.

Но и кроме VPNhub существует немало VPN-сервисов — как встроенных в браузеры, так и самостоятельных, и при этом бесплатных. Их минус в том, что выбрать из них самый подходящий не всегда так уж легко, особенно учитывая, что создатели большинства из них всеми способами стараются заставить вас купить платную версию их программы. Для этого сервисы могут ограничивать трафик, замедлять скорость соединения, ограничивать количество стран, откуда вы якобы выходите в интернет.

Поэтому, скорее всего, вам придётся включать VPN, когда заходите на Pornhub, и выключать его сразу после этого. Да, всего пара кликов, но если вам лень делать и это, есть другое решение.

Прокси

Серверы прокси действуют по похожему принципу, что и VPN: ваш трафик перенаправляется через них, таким образом скрывая ваше местоположение, но при этом данные чаще всего не шифруются. В данном случае вам не нужно устанавливать отдельную программу или расширение, которое необходимо включать или выключать. Достаточно лишь вбить адрес бесплатного прокси-сервера в настройки вашего браузера.

Именно по такой схеме работает прокси от российского проекта «Антизапрет». С помощью созданного им сервиса проксируются все сайты из чёрного списка Роскомнадзора, чтобы скорость интернет-соединения на других веб-страницах оставалась прежней.

Легче всего настроить прокси «Антизапрета» в Firefox. В меню основных настроек Firefox вам нужно будет найти кнопку «Настроить» в разделе «Параметры сети». В открывшемся меню выбрать «URL автоматической настройки прокси» и вставить туда ссылку — https://antizapret.prostovpn.org/proxy.pac.

Чуть сложнее — в Chrome и Opera. Сначала нужно открыть дополнительные настройки, потом кликнуть по меню настроек прокси-сервера в меню «Система». Вам откроется всплывающее окно, в котором надо выбрать «Автонастройка прокси» и вставить всё ту же ссылку. Такое же окно открывается и в Safari, если зайти в меню «Дополнения» в настройках и выбрать «Настройки прокси».

Прокси от «Антизапрета» можно установить и на телефон. В айфоне для этого нужно зайти в настройки Wi-Fi, нажать «i» напротив названия сети, в меню «Настройка прокси» выбрать «автоматическая» и вставить всё ту же ссылку. На Android схема действий аналогична.

Хотя «Антизапрет» на своём сайте и пишет, что работа его прокси стабильна, серверы могут устареть или стать заблокированными, а ещё довольно сильно влиять на скорость соединения. Но есть способ избежать и этого.

Изменение кода страницы

Авторизация через ВК зашита в код страницы, и удалить её — дело нескольких секунд. Разберём на примере браузера Mozilla Firefox для Mac. Всё, что вам нужно сделать, это нажать на странице правой кнопкой мыши и выбрать из открывшегося контекстного меню пункт «Исследовать элемент». Тогда вам откроется страшное зрелище.

Но не пугайтесь. Нас интересуют лишь две строчки:

Ищем их в коде, кликаем на каждую двойным щелчком мыши, нажимаем Delete — и готово. Если не хочется каждый раз лазить в коде, хотя это и занимает секунды, можно переложить эту обязанность на программу.

Adblock

В большинстве браузерных расширений для блокировки рекламы есть возможность добавлять и настраивать собственные фильтры. Это сделано на случай, если реклама внедрена в текст, как в саму веб-страницу. Проверка возраста через «ВКонтакте» на Pornhub встроена похожим образом, и заблокировать её можно так же, как и нежелательную рекламу.

В интернете можно найти множество инструкций, как обойти авторизацию подобным способом, и чаще всего пользователи объясняют это на примере одного из самых популярных расширений — Adblock Plus. Но не спешите пугаться, что вам сейчас придётся разбираться с языком программирования. Всю работу уже сделали за вас, так что ловите готовую инструкцию от пользователя Habr с ником Kaisy.

В настройках фильтров программы нужно выбрать вкладку «Собственные фильтры» и кликнуть «Добавить группу фильтров». Внутри неё нужно добавить два фильтра:

Вот как это выглядит в Adblock для Mozilla Firefox на Mac.

Теперь вы и и навязчивой рекламы не увидите, и Pornhub сможете посмотреть. Только не увлекайтесь, особенно если смотрите порно не дома. Парень из Штатов был так неосторожен, что провалил целое ограбление из-за пристрастия к видео для взрослых. Зато урок всем остальным преступникам.

Но бывает и так, что любовь к порно подводит самих полицейских и они упускают заключённых прямо у себя из-под носа. Возможно, они смотрели даже не откровенные видео, а самый милый контент на Pornhub. Даже ваша мама, увидев такие ролики, порадовалась бы.

Источник

Как обойти авторизацию через ВКонтакте на Pornhub?

Один друг рассказал, что есть такой крайне популярный в узких кругах сайт, как Pornhub.com. Когда-то он был даже заблокирован Роскомэтсамым, но потом почему-то разблокировали. И сразу после этого сайт стал требовать у посетителей указать дату рождения, чтобы убедиться в их возрасте. Конечно же, все просто накручивали год, поэтому где-то за океаном владельцы сайта с веселыми роликами очень быстро стали удивляться тому факту, что в России так много людей рождается 1 января. И вот теперь они пошли дальше и решились на очень странный шаг. Теперь войти на сайт можно только через авторизация с помощью ВКонтакте. Что делать?

Вряд ли будет много желающих делиться данными своего аккаунта во ВКонтакте с владельцами Pornhub. Да и сам сайт многие предпочитают посещать в режиме Инкогнито, а значит, логин, пароль и код из смс придется каждый раз вводиться заново. Жуть как неудобно. Что делать? У пользователей Google Chrome, Opera, Яндекс.Браузера и многих других браузеров выход есть. Нужно лишь установить блокировщик рекламы и подкрутить его немного. Поехали.

Устанавливаем любой блокировщик рекламы, поддерживающий пользовательские фильтры. Для примера возьмем бесплатный Adguard, который доступен как в Chrome Web Store, так и во встроенном каталоге Яндекс.Браузера. После установки кликаем правой кнопкой мыши по иконке и выбираем пункт «Настройки». Здесь нас интересует вкладка «Пользовательский фильтр». Именно сюда нужно добавить две строчки, чтобы авторизация через ВКонтакте больше не требовалась.

Да, именно эти две строки и надо туда добавить. Не будем вас мучать, поэтому вот эти строки в текстовом виде (просто копируйте):

Готово. Теперь Pornhub при входе не будет просить подтвердить возраст. Человечество спасено.

Источник

[BugBounty] Частичный обход аутентификации vk.com

Поставил перед собой задачу — обойти аутентификацию Вконтакте. Когда ip адрес человека, который входит на аккаунт vk меняется, нужно ввести полный номер телефона. Если злоумышленник входил через телефон; пароль, то он сможет совершать действия на аккаунте. Но если он входил через email; пароль или через подмену cookies, то он не сможет совершать какие либо действия на аккаунте.

Вся информация предоставлена исключительно в ознакомительных целях. Я не несу ответственности за любой возможный вред, причиненный материалами этой статьи.

Брутфорсинг здесь работать не будет, так как у нас всего 3 попытки ввести номер телефона. Пытался выполнять все возможные get и post запросы, но все время происходил редирект на https://vk.com/login.php?act=security_check.

Можно было бы выполнить post запрос из другого аккаунта, для этого нам нужен csrf token(hash), но я смог найти только токен для логаута https://login.vk.com/?act=logout&hash=dbefb8b0bba973b95e&reason=tn&_origin=https://vk.com.

Нам предлагают изменить номер телефона на аккаунте vk.com/restore?act=change_phone, здесь можем видеть количество непрочитанных сообщений (не баг, а фича, но убрать это не мешало бы) и настройки пунктов меню.

Чуть позже, случайно я наткнулся на функционал шаринга ссылки https://vk.com/share.php?url=https://ok.ru, на мое удивление, эта ссылка открылась:

Попытался запостить себе ссылку на стенку и получил сообщение.

Поздравляем! Ссылка появится на Вашей странице.

Сначала не поверил, подумал, что security_check заблокировал всё, но зашел на стенку и увидел, что ссылка успешно запостилась )

На стену можно расшаривать не только ссылки, а и обычный пост, для этого нужно оставить параметр url пустым https://vk.com/share.php?url=.

Также, если мы владелец или администратор сообщества, мы можем запостить на стену сообщества запись в обход ввода номера телефона.

Друзьям мы не можем отправить сообщение, так как vk.com/login.php?act=security_check блокирует получение списка друзей. Запрос отправки url другу имеет вид.

Где to_ids — иды друзей, chas — csrf токен, значит, мы не можем просто подставить ид друга, токен нам мешает. С запроса шаринга ссылки на стену токен мы взять не можем, так там совсем другая переменная — hash=bb6e1ce8db5f1419e3.

Сразу после обнаружения уязвимости я написал репорт на h1, мне сказали, что это дубликат, ранее уже присылали такой репорт.

Чтобы узнать примерную дату, когда прислали репорт, я обращаюсь к поиску по репортам, смотрю репорт, ид которого наиболее близок к моему и смотрю дату — hackerone.com/reports/170894. Оказалось, репорт этот прислали 4 месяца назад.

Очень печально, что vk за это время не смогли исправить уязвимость. Некоторые репорты висят годами, уверен, что много баг хантеров в bug bounty vk наткнулись на дубликаты, так как ни для кого не секрет, что у ВК много репортов и много работы, а безопасников очень мало.

Пруф — уязвимость в видео файлах, которую прислал Алексей Писаренко. Ожидает устранения уже 2 года!

Ещё один репорт, который висит уже 1 год:

Эта статья создана только для того, чтобы привлечь внимание разработчиков Вконтакте, надеюсь, они исправят данную уязвимость, увеличат штат безопасников и начнут оперативно устранять уязвимости.

Выводы: Цель фишеров — спамить, она остается выполнимой, аутентификацию можно забайпасить.

P.S: В процессе обхода аутентификации обнаружил уязвимость, которая позволяет подписаться на любую групу vk, не зная номера телефона жертвы, и ещё одну, с помощью которой можно полностью обойти ввод номера, но пока об этом не написал репорт.

P.P.S: Об импакте уязвимости:

1. Эта уязвимость может использоваться при массовых фишинговых атаках на пользователей (сейчас набирает популярность создание фейков ВК и распространение их через личные сообщения, а также соц инженерия, применимая на друзьях взломанных аккаунтов), часто фишеры при получении логов сталкиваются с проблемой входа в аккаунт и дальнейшего распространения url фишингового сайта (получают только email;password), с этой уязвимостью они могут получать намного больше логов за счет того, что делятся своей ссылкой на стене и в группе жертвы.

2. Чтобы заблокировать или заморозить страницу пользователя — нужно поделится запрещенной ссылкой у себя на стене и аккаунт сразу заблокируют.

Группа VK и мой твиттер внизу. Буду очень рад подписке 🙂

Источник