bad-morning
Резидент
- Статус
- offline
- Регистрация
- 08.03.2019
- Сообщения
- 83
- Репутация
- 130
[мини статья] Самый банальный способ-взлома Whatsapp`a для ЮНЫХ ХАЦКЕРОВ)
КОПИПАСТ
Вся атака на акк мессенджера проста и состоит из нескольких этапов:
1.Первым делом, мы чувствуем себя супер хацкером и создаем маленький вредоносный html-файл с предварительным изображением:
Веб-версия WhatsApp сохраняет все разрешенные типы документов в клиентской переменной W ["default"]. DOC_MIMES Эта переменная хранит допустимые типы Mime, используемые приложением
Поскольку зашифрованная версия документа отправляется на серверы WhatsApp, в эту переменную можно добавить новый тип Mime, такой как «text / html», чтобы обойти ограничение клиента и загрузить вредоносный HTML-документ
После добавления URL-адреса вредоносного документа в клиентскую переменную, клиент шифрует содержимое файла с помощью функции encryptE2Media, а затем загружает его зашифрованным как BLOB на сервер WhatsApp
Изменение имени и расширения документа и создание фальшивого предварительного просмотра путем изменения клиентских переменных сделает вредоносный документ более привлекательным для жертвы.
Как только наша жертва нажимает на файл, она увидит смешную кошку под объектом blob, которая является объектом html5 FileReader под web.whatsapp.com. Это означает, что хакер может получить доступ к ресурсам в браузере под web.whatsapp.com
Просто, просмотрев страницу, не нажимая ни на что, данные локального хранилища жертвы будут отправлены хакеру, что позволит ему взять на себя его учетную запись.
Хацкер создает функцию JavaScript, которая будет проверять каждые 2 секунды, если в бэкэнд будут новые данные, и заменить его локальное хранилище жертве.
Часть кода хацкера:
Хакер будет перенаправлен на акк жертвы и сможет получить к нему доступ.
Веб-сайт WhatsApp не позволяет клиенту иметь более одного активного сеанса за один раз, по этой причине, после того, как хакер украдет учетную запись жертвы, она получит следующее сообщение:
Вы можете переделать этот код, добавив код JavaScript следующим образом:
Вредоносный HTML-файл, который заставит окно браузера клиента застревать и позволит хакеру управлять учетной записью без помех, хотя хакер будет подключен к учетной записи жертвы до тех пор, пока жертва не войдет в учетную запись. Закрытие браузера не приведет к выходу хакера из учетной записи, и тогда хакер сможет войти в учетную запись пользователя столько, сколько захочет! Думаю, не нужно объяснять, чем это чревато.
П.С.: автором не являюсь,а брал в сети в свое время по нужде.
П.П.С.: палками не кидайтесь,пробуйте!
П.П.П.С.: Главное: не открывайте картинки с левых номеров,всем удачи!
КОПИПАСТ
Вся атака на акк мессенджера проста и состоит из нескольких этапов:
1.Первым делом, мы чувствуем себя супер хацкером и создаем маленький вредоносный html-файл с предварительным изображением:
Веб-версия WhatsApp сохраняет все разрешенные типы документов в клиентской переменной W ["default"]. DOC_MIMES Эта переменная хранит допустимые типы Mime, используемые приложением
Поскольку зашифрованная версия документа отправляется на серверы WhatsApp, в эту переменную можно добавить новый тип Mime, такой как «text / html», чтобы обойти ограничение клиента и загрузить вредоносный HTML-документ
После добавления URL-адреса вредоносного документа в клиентскую переменную, клиент шифрует содержимое файла с помощью функции encryptE2Media, а затем загружает его зашифрованным как BLOB на сервер WhatsApp
Изменение имени и расширения документа и создание фальшивого предварительного просмотра путем изменения клиентских переменных сделает вредоносный документ более привлекательным для жертвы.
Как только наша жертва нажимает на файл, она увидит смешную кошку под объектом blob, которая является объектом html5 FileReader под web.whatsapp.com. Это означает, что хакер может получить доступ к ресурсам в браузере под web.whatsapp.com
Просто, просмотрев страницу, не нажимая ни на что, данные локального хранилища жертвы будут отправлены хакеру, что позволит ему взять на себя его учетную запись.
Хацкер создает функцию JavaScript, которая будет проверять каждые 2 секунды, если в бэкэнд будут новые данные, и заменить его локальное хранилище жертве.
Часть кода хацкера:
Хакер будет перенаправлен на акк жертвы и сможет получить к нему доступ.
Веб-сайт WhatsApp не позволяет клиенту иметь более одного активного сеанса за один раз, по этой причине, после того, как хакер украдет учетную запись жертвы, она получит следующее сообщение:
Вы можете переделать этот код, добавив код JavaScript следующим образом:
Вредоносный HTML-файл, который заставит окно браузера клиента застревать и позволит хакеру управлять учетной записью без помех, хотя хакер будет подключен к учетной записи жертвы до тех пор, пока жертва не войдет в учетную запись. Закрытие браузера не приведет к выходу хакера из учетной записи, и тогда хакер сможет войти в учетную запись пользователя столько, сколько захочет! Думаю, не нужно объяснять, чем это чревато.
П.С.: автором не являюсь,а брал в сети в свое время по нужде.
П.П.С.: палками не кидайтесь,пробуйте!
П.П.П.С.: Главное: не открывайте картинки с левых номеров,всем удачи!
