- PVSM.RU - https://www.pvsm.ru -
Все описанные способы были отправлены «Вконтакте» через hackerone, но «Вконтакте» решили, что эти способы не являются проблемами. Решение было принято через 6 месяцев после изменения статуса репорта на «Triaged». Я пытался переубедить, но ответа не увидел.
Многие продемонстрированные ссылки у вас работать не будут, т. к. они разные для всех.
При ограниченном доступе добавлять новые видеозаписи могут только редакторы и администраторы сообщества.
На странице видеозаписей сообщества есть вкладка «Загруженные», в которой отображаются только видео, загруженные с компьютера. Если видеозаписи сообщества ограничены, то во вкладке «Загруженные» отображаются видеозаписи, которые загрузили руководители. Проблема в том, что прямые ссылки на видеозаписи содержат идентификатор загрузчика. Посмотрев идентификаторы можно деанонимизировать руководителей.
Пример на созданном сообществе: vk.com/club143400909 [1].
Вытягиваем прямую ссылку или hls-поток на видеозапись: vk.com/video-143400909_456239017 [2]
Прямая ссылка: cs632300.userapi.com/4/u237115941/videos/5115525024.240.mp4 [3]
Hls-поток: cs632300.userapi.com/video/hls/4/u237115941/videos/5115525024/index-f1-v1-a1.m3u8 [4]
Видим, что руководитель vk.com/id237115941 [5].
Пример на сообществе: vk.com/meduzaproject [6] (они разрешили)
Видеозапись: vk.com/video-76982440_456239236 [7]
Прямая ссылка: cs632603.userapi.com/1/u1564856/videos/84c5da2b5a.240.mp4 [8]
Руководитель: vk.com/id1564856 [9]
Видеозапись: vk.com/video-76982440_456239231 [10]
Прямая ссылка: cs632606.userapi.com/3/u464017/videos/7ec04da5ac.240.mp4 [11]
Руководитель: vk.com/id464017 [12]
Всего по всем видеозаписям было найдено 4 руководителя.
Также есть возможность деанонимизировать руководителя по обложке от видео с другого источника (youtube, rutube и др.). В ссылке на обложку содержится идентификатор первого загрузчика этого видео на vk.com, т. е. этим способом можно деанонимизировать только зная, что видео загрузил руководитель и он был первый. Это может быть результат конкурса или что-то еще.
Видео: vk.com/video-143400909_456239018 [13]
Ссылка на обложку: pp.userapi.com/c836123/u237115941/video/l_5881cb5e.jpg [14]
Видим, что руководитель vk.com/id237115941 [5].
Проблема в том же. Прямая ссылка на аудиозапись содержит идентификатор загрузчика. Нигде не отображается, добавлена аудиозапись из поиска или загружена с компьютера, поэтому этим способом можно деанонимизировать только зная, что аудиозапись загрузил руководитель. Такие аудиозаписи могут выделяться (запись эфира с радио и т. п.).
Аудиозапись в сообществе vk.com/club143400909 [1]: Мелодии – Карело-финская полька
Прямая ссылка: psv4.userapi.com/c815220/u237115941/audios/eb9137fb510b.mp3 [15]
Видим, что руководитель vk.com/id237115941 [5].
Пример на сообществе vk.com/meduzaproject [6].
Аудиозапись: «Медуза» – Как узнать, сколько стоят «фужеры» Собянина?
Прямая ссылка: psv4.userapi.com/c613316/u1564856/audios/1cb08ff13792.mp3 [16]
Руководитель: vk.com/id1564856 [9]
Прямая ссылка на документ содержит идентификатор загрузчика. Зная, что документ загрузил руководитель можно деанонимизировать. Многие загружают информацию о проводимых конкурсах, правила группы.
Пример на созданном сообществе vk.com/club143400909 [1].
Документ: 1.ts
Прямая ссылка: cs7064.userapi.com/c812339/u237115941/docs/c134bbccadba/1.ts [17]
Если документ является изображением, то можно деанонимизировать по маленькой копии.
Документ: G.png
Ссылка на маленькую копию: pp.userapi.com/c812235/u237115941/-3/m_56c1679b77.jpg [18]
Видим, что руководитель vk.com/id237115941 [5].
Этот способ можно комбинировать с другими способами. Прямая ссылка на загруженное изображение содержит конец идентификатора загрузчика. Можно получить список всех участников сообщества и отобрать тех, у кого конец совпадает. Если сообщество маленькое, то скорее всего в результате будет 1 страница, если большое, то несколько, но там точно будет руководитель. Также можно деанонимизировать автора записи, если в записи есть загруженное изображение. Если сообщество большое и в результате отбора много идентификаторов, то можно получить список нажавших «мне нравится» записи и отобрать (вдруг автор нажал).
Прямая ссылка на фотографию группы: pp.userapi.com/c836123/v836123941/2362f/5TA-jc1s8Q0.jpg [19]
Конец идентификатора: 941
Руководитель сообщества vk.com/id237115941 [5].
Прямая ссылка на обложку сообщества vk.com/meduzaproject [6]: cs7064.userapi.com/c639129/v639129017/92f9/itZoAG-k1GQ.jpg [20]
Конец идентификатора: 017
Руководитель: vk.com/id464017 [12]
В настройках приложения можно загружать иконку приложения 16x16, которая после загрузки получает ссылку, в которой присутствует идентификатор страницы администратора. В ссылке на иконку всегда отображается идентификатор главного администратора, даже если иконку загрузил неглавный администратор, а другой пользователь-руководитель с правами. Также раскрыв администратора приложения, вы еще раскрываете руководителя сообщества приложения, т. к. группу в настройках приложения можно установить, если являешься в ней руководителем.
Ссылка: pp.userapi.com/cЦифры/uИдентификатор_администратора/имя.gif [21]
Автор: red_lobster
Источник [22]
Сайт-источник PVSM.RU: https://www.pvsm.ru
Путь до страницы источника: https://www.pvsm.ru/vkontakte/251938
Ссылки в тексте:
[1] vk.com/club143400909: https://vk.com/club143400909
[2] vk.com/video-143400909_456239017: https://vk.com/video-143400909_456239017
[3] cs632300.userapi.com/4/u237115941/videos/5115525024.240.mp4: http://cs632300.userapi.com/4/u237115941/videos/5115525024.240.mp4
[4] cs632300.userapi.com/video/hls/4/u237115941/videos/5115525024/index-f1-v1-a1.m3u8: http://cs632300.userapi.com/video/hls/4/u237115941/videos/5115525024/index-f1-v1-a1.m3u8
[5] vk.com/id237115941: https://vk.com/id237115941
[6] vk.com/meduzaproject: https://vk.com/meduzaproject
[7] vk.com/video-76982440_456239236: https://vk.com/video-76982440_456239236
[8] cs632603.userapi.com/1/u1564856/videos/84c5da2b5a.240.mp4: https://cs632603.userapi.com/1/u1564856/videos/84c5da2b5a.240.mp4
[9] vk.com/id1564856: https://vk.com/id1564856
[10] vk.com/video-76982440_456239231: https://vk.com/video-76982440_456239231
[11] cs632606.userapi.com/3/u464017/videos/7ec04da5ac.240.mp4: https://cs632606.userapi.com/3/u464017/videos/7ec04da5ac.240.mp4
[12] vk.com/id464017: https://vk.com/id464017
[13] vk.com/video-143400909_456239018: https://vk.com/video-143400909_456239018
[14] pp.userapi.com/c836123/u237115941/video/l_5881cb5e.jpg: https://pp.userapi.com/c836123/u237115941/video/l_5881cb5e.jpg
[15] psv4.userapi.com/c815220/u237115941/audios/eb9137fb510b.mp3: https://psv4.userapi.com/c815220/u237115941/audios/eb9137fb510b.mp3
[16] psv4.userapi.com/c613316/u1564856/audios/1cb08ff13792.mp3: https://psv4.userapi.com/c613316/u1564856/audios/1cb08ff13792.mp3
[17] cs7064.userapi.com/c812339/u237115941/docs/c134bbccadba/1.ts: https://cs7064.userapi.com/c812339/u237115941/docs/c134bbccadba/1.ts
[18] pp.userapi.com/c812235/u237115941/-3/m_56c1679b77.jpg: https://pp.userapi.com/c812235/u237115941/-3/m_56c1679b77.jpg
[19] pp.userapi.com/c836123/v836123941/2362f/5TA-jc1s8Q0.jpg: https://pp.userapi.com/c836123/v836123941/2362f/5TA-jc1s8Q0.jpg
[20] cs7064.userapi.com/c639129/v639129017/92f9/itZoAG-k1GQ.jpg: https://cs7064.userapi.com/c639129/v639129017/92f9/itZoAG-k1GQ.jpg
[21] pp.userapi.com/cЦифры/uИдентификатор_администратора/имя.gif: https://pp.userapi.com/cЦифры/uИдентификатор_администратора/имя.gif
[22] Источник: https://habrahabr.ru/post/325840/?utm_source=habrahabr&utm_medium=rss&utm_campaign=sandbox
Нажмите здесь для печати.