Grebenshikov Dec 21 2011 at 15:48

Получаем доступ к методам Вконтакте Api без ведома пользователя

3 min

13K

Information Security*Social networks and communities

From sandbox

+67

Comments 20

UFO landed and left these words here

user3000 Dec 21 2011 at 16:26

Может хоть после поста на Хабре «пофиксят».

IkaR49 Dec 21 2011 at 16:32

Делаем ставки, как скоро это произойдёт? :)

UFO landed and left these words here

germn Dec 21 2011 at 16:27

Красота!

Isis Dec 21 2011 at 16:37

Про crossdomain вообще мало кто помнит. Благодаря пользователю kafeman мы исправили страшную уязвимость на хабре пару дней назад. Об этом он сам напишет :)

korum Dec 22 2011 at 00:03

Уже написал habrahabr.ru/blogs/infosecurity/134150/

Adiost Dec 22 2011 at 00:36

Астрологи объявили неделю crossdomain…

shtormish Dec 21 2011 at 16:49

Оперативно сработали)

mr47 Dec 21 2011 at 17:20

Простите но это не уязвимость, больше нескольких запросов апи в секунду вы не сможете сделать, кроме того написать на «стене», access_token не имеет силы, этим можно воспользоватся только ради спама что быстро вызовет интерес разработчиков, это не уязвимость, а казус.

TrueDrago Dec 21 2011 at 19:21

Вы шутите?

mr47 Dec 21 2011 at 19:38

Пускай минусуют, но скажите что вы можете сделать моему акаунту?

TrueDrago Dec 21 2011 at 20:27

Понимаете, угрозы (и уязвимости) разные бывают. Аккаунт ваш не угонит, но подгадить может, особенно если его массово запустить…

mr47 Dec 21 2011 at 21:14

Спасибо за ссылку,a вы подумали что это проблема не решаемая, вы о решении подумали прежде чем ссылку на википедию давать…

TrueDrago Dec 21 2011 at 22:06

Думать о решении в данном случае разработчики ВК должны, что они уже, как я понял, и сделали.

PS: ваше видимо вопросительное предложение без знака вопроса немножко ломает мой мозг))

UFO landed and left these words here

Grebenshikov Dec 21 2011 at 21:57

Уже фиксанули, Сейчас обновлю топик.

glebmachine Dec 22 2011 at 01:17

И еще, забыли сказать что этим топиком по честному подняли се карму)
Так что csrf работает)

Ekstazi Dec 22 2011 at 02:07

Эх, раньше ломали через js, сейчас же флеш юзают и кроссдоменность. Но за идею спасибо, теперь буду знать. Никогда не воспринимал её в серьёз, а теперь буду. Однозначно автор молодец.

ATimofeev Dec 22 2011 at 22:37

Ага, вот кто виноват, что постинг на стену из standalone приложений отключили!