DarkWeb

Перехват VK. Как хакеры используют кликджекинг для деанонимизации

DarkWeb·24 Oct 2022
Перехват VK. Как хакеры используют кликджекинг для деанонимизации, image #1

В этой статье я рас­ска­жу, как зло­умыш­ленник может исполь­зовать тех­нику соци­аль­ного фишин­га под наз­вани­ем клик­дже­кинг, что­бы деано­ними­зиро­вать поль­зовате­ля. В качес­тве при­мера мы будем изу­чать ата­ку на акка­унт VK и пос­мотрим, как имен­но хакер может узнать иден­тифика­тор поль­зовате­ля. Это очень опас­ный вид ата­ки, который слож­но пре­дот­вра­тить, и попасть­ся на него может каж­дый.

Что такое кликджекинг

Клик­дже­кинг — это механизм обма­на, свя­зан­ный с раз­мещени­ем на сай­те невиди­мых эле­мен­тов, с которы­ми поль­зователь может вза­имо­дей­ство­вать, даже не подоз­ревая это­го. То есть соз­дает­ся кноп­ка и в невиди­мом слое нак­ладыва­ется поверх дру­гой — видимой. Нап­ример, жер­тва хочет пос­мотреть фильм на сай­те, жмет Play, а попут­но еще слу­чай­но дает «сог­ласие на обра­бот­ку пер­сональ­ных дан­ных». Най­ти такие невиди­мые эле­мен­ты мож­но, толь­ко заг­лянув в код сай­та.

Бы­вает еще и «кур­сор­дже­кинг». Это незамет­ное переме­щение кур­сора мыши, что­бы выпол­нить те или иные дей­ствия на стра­нице. Переме­щать­ся вмес­те с кур­сором может и какой‑то эле­мент.

Даль­ше я покажу, как зло­умыш­ленник может добавить на стра­ницу вид­жет «ВКон­такте», сде­лать его невиди­мым и под­ложить ничего не подоз­рева­юще­му поль­зовате­лю.

Дизайн сайта

Здесь зло­умыш­ленник может нафан­тазиро­вать что угод­но. Соци­аль­ный фишинг — нич­то без соци­аль­ной инже­нерии, поэто­му ему пот­ребу­ется схе­ма вве­дения в заб­лужде­ние, под которую уже будет под­гонять­ся содер­жимое сай­та.

Для при­мера возь­мем пус­той шаб­лон.

<!DOCTYPE html> <!-- Объявление формата документа -->

<html>

<head> <!-- Техническая информация о документе -->

<meta charset="UTF-8"> <!-- Определение кодировки символов -->

<title>...</title> <!-- Заголовок документа -->

<link rel="stylesheet" type="text/css" href="style.css"> <!--

Подключение внешней таблицы стилей -->

<script src="script.js"></script> <!-- Подключение сценариев -->

</head>

<body> <!-- Основная часть документа -->

</body>

</html>

Авторизация VK

Те­перь на сайт добав­ляет­ся воз­можность авто­ризо­вать­ся через VK. Для это­го есть офи­циаль­ный API, к нему идет под­робная инс­трук­ция.

Ес­ли вкрат­це, то дос­таточ­но добавить вот этот скрипт в сек­цию head:

<script src="https://vk.com/js/api/openapi.js?169" type="text/javascript"></script>

И вот это — в body:

<div id="vk_auth"></div>

<script type="text/javascript"> window.onload = function () { VK.init({apiId:1111111});

VK.Widgets.Auth('vk_auth', {});

}

</script>

Па­рамет­ру apiId нуж­но дать зна­чение, которое находит­ся в докумен­тации и есть в раз­деле «Код вид­жета для встав­ки на сай­те».

Перехват VK. Как хакеры используют кликджекинг для деанонимизации, image #2

На скри­не замазан сам иден­тифика­тор. Теперь на сай­те дол­жна появить­ся такая кноп­ка.

Перехват VK. Как хакеры используют кликджекинг для деанонимизации, image #3

У зло­умыш­ленни­ка есть широкий выбор вари­антов того, как переп­равлять себе дан­ные об авто­ризо­ван­ных посети­телях. На сто­роне сер­вера для это­го может исполь­зовать­ся база дан­ных или прос­то тек­сто­вый файл.

Как ска­зано в докумен­тации, пос­ле авто­риза­ции метод VK.Widgets.Auth воз­вра­щает дан­ные о поль­зовате­ле в виде GET-парамет­ров URL при исполь­зовании authUrl или в виде парамет­ров фун­кции при исполь­зовании onAuth. Воз­вра­щают­ся сле­дующие поля:

  • uid (integer) — иден­тифика­тор поль­зовате­ля;
  • first_name (string) — имя;
  • last_name (string) — фамилия;
  • photo (string) — URL фотог­рафии про­филя поль­зовате­ля шириной 200 px;
  • photo_rec (string) — URL фотог­рафии про­филя поль­зовате­ля шириной 50 px;
  • hash (string) — слу­жеб­ный параметр, необ­ходимый для про­вер­ки авто­риза­ции на уда­лен­ной сто­роне.

Для про­вер­ки авто­риза­ции мож­но исполь­зовать получен­ный параметр hash, срав­нивая его со зна­чени­ем фун­кции MD5 от app_id + user_id + secret_key. Нап­ример:

md5(667481942537fTanpCrNSeuGPbA4ENCo)

Как нас­тра­ивать этот вид­жет, есть мно­гочис­ленные инс­трук­ции, здесь никаких сек­ретов, разоб­рать­ся под силу каж­дому. Так что идем даль­ше.

Настройка видимости

Обыч­ный веб‑раз­работ­чик на этом эта­пе бы и оста­новил­ся, но зло­умыш­ленни­ку нуж­но сде­лать кноп­ку авто­риза­ции невиди­мой и вста­вить поверх нее какое‑нибудь прив­лекатель­ное изоб­ражение, что­бы поль­зователь про­шел авто­риза­цию, не заметив это­го. Нап­ример, мож­но пос­тавить поверх какую‑то дру­гую кноп­ку.

Ес­ли в любом бра­узе­ре выб­рать «Прос­мотр кода» и навес­ти кур­сор мыши на кноп­ку вхо­да в VK, а затем щел­кнуть пра­вой кноп­кой, то мож­но най­ти такой абзац (на скрин­шоте замаза­на часть тек­ста, которой на этом эта­пе не будет).

Перехват VK. Как хакеры используют кликджекинг для деанонимизации, image #4

Те­перь в окне CSS мож­но добавить opacity : 0.0. Кноп­ка ста­нет невиди­мой.

Перехват VK. Как хакеры используют кликджекинг для деанонимизации, image #5

Код абза­ца уже со зна­чени­ем opacity : 0.0 мож­но ско­пиро­вать и получить код скры­той кноп­ки. В таком виде зло­умыш­ленник и добав­ляет кноп­ку на свой сайт вмес­то преж­него кода.

Выводы

По­луча­ется невиди­мая кноп­ка, и при нажатии на нее выпол­няет­ся дей­ствие. Кста­ти, если прос­то скрыть этот эле­мент атри­бутом hidden, то никако­го резуль­тата не будет, ведь кноп­ка не толь­ко про­падет визу­аль­но, но и не будет получать событий вро­де щел­чка кноп­кой мыши.

Это, по моему мне­нию, край­не эффектив­ный спо­соб деано­ними­зации, ког­да поль­зовате­ля дос­таточ­но нап­равить на стра­ницу — и мож­но получить его иден­тифика­тор VK и некото­рые дру­гие дан­ные. Работа­ет же такая схе­ма прак­тичес­ки незамет­но для обы­вате­ля.

За­щитить­ся от такого спо­соба край­не слож­но. Мож­но раз­ве что поис­кать в исходни­ке подоз­ритель­ного сай­та сло­во opacity, но вряд ли кто‑то будет делать это на каж­дой посеща­емой стра­нице.

Источник

3603 views·49 shares
3603 views