Java Взломал защиту VK и написал Brute / Checker

[ZeroByte]

Yo, Всем салют!
Сегодня хочу показать как можно сделать Brute / Checker для нашего любимого VK

План написания любого Brute / Checker:
- Анализ запросов / ответов (снифф)
- Бутылка водки
- Инструменты для исследования приложения


Приступим!
1. Исследуем запросы и ответы которые происходят на момент выполнения авторизации

Посмотрим в запрос и увидим что мне повесили кап (но это только из-за того что я использую свой ip для сниффа - на проксях их будет меньше)

Напишем маленький GET запрос на C#


Попробуем передать в метод валид лог:пароль и посмотрим что нам вернут..

Круто! Нам возвращают Json который содержит access token / user_id / secret

Теперь посмотрим следующий запрос который происходит для чека информации об аккаунте

Каждый запрос защищен уникальной подписью, нам нужно узнать как происходит генерация этого поля

Исследовав приложение я нашел метод который принимает строку и выполняет генерацию этой подписи


Reverse Engineering

Метод умной школьницы
Запилим патч который будет выводить в logcat информацию о строке которая поступает в метод


Получив по итогу строку мы можем подписывать свои запросы!
Остальное не вижу смысла описывать - все как обычно (составление запроса и парсинг Json)
​

 

[MAKsI]

нихуя не понял , но лайк

 

[mixer]

Теперь посмотрим следующий запрос который происходит для чека информации об аккаунте

Для чека информации достаточно токена, sig используется здесь:

VK | VK

vk.com

 

[ZeroByte]

Для чека информации достаточно токена, sig используется здесь:

VK | VK

vk.com

Я знаю, просто название должно отражать суть темы. Просто интересную инфу даю