Любой может отредактировать чужие записи в Telegram

Подробности: Автор: Onion; Категория: IT; Опубликовано: 01 апреля 2018; Просмотров: 13012

Нравится1 Плохо1

1 1 1 1 1 1 1 1 1 1 Рейтинг 2.90 [5 Голоса (ов)]

Рейтинг: 5 / 5

Мессенджер Telegram, позиционирует себя, как приложение предоставляющее пользователю повышенную безопасность. Однако скрупулёзная работа энтузиаста, помогла выявить три серьезных проблемы в безопасности, одного из самых безопасных мессенджеров.

Давайте разберем данные "дыры" более подробно:

Исследователь в области безопасности, который известен на Habrahabr под псевдонимом w9w, поведал миру об обнаруженных им уязвимостях в Telegram.

w9w выяснил, что ссылки вида t.me могут вести пользователя на фишинговые сайты, а приватные чаты, вовсе не приватны. Также статьи в Telegraph, издательском сервисе, который тесно интегрирован с Telegram, может редактировать кто угодно.

Уязвимость с редактированием чужих сообщений, касается издательского сервиса Telegraph. Данный сервис разработала команда мессенджера и Павел Дуров в 2016 году. Исследователь провел анализ HTTP-запроса, отправляемого на сервера Telegraph и пришел к выводу, что для редактирования любой статьи, нужно знать только уникальный идентификатор. Этот идентификатор можно найти в HTML-коде страницы с этой статьей.

Для защиты от подобного рода атак, обычно используется сверка токена (случайного набора байт), генерируемого сервером. В случает с Telegraph, данные меры по защите не применяются, как и иные способы защиты.

Далее уязвимость была обнаружена в приватных чатах. В процессе тестирования стороннего ресурса, который взаимодействует с доменом t.me, который принадлежит Telegram и используется для создания коротких публичных ссылок на учетные записи пользователей, каналы и группы в мессенджере. Данный ресурс дает платные советы и консультации на тему криптовалюты. Функции "советника" на одном из каналов выполнял Telegram-бот. Бота можно было подключить, перейдя по ссылке вида t.me/Another_bot?start=CODE, где CODE – секретная последовательность символов, связанная с учетной записью пользователя на сайте. Решив проверить «чувствительные» данные в URL на факт индексации поисковыми системами, исследователь обнаружил первую из трех уязвимостей в Telegram.

Сформировав, как его называют "дорк" (Google Dork Query – специальный запрос в поисковой системе (site:t.me inurl:Another_bot?start=), исследователь с удивлением обнаружил, личный код того самого ресурса о криптовалютах в публичном доступе. Таким образом, на t.me отсутствует запрет на индексацию конфиденциальных данных. Исследователь утверждает, что причиной этого является отсутствие файла robots.txt в корневом каталоге ресурса, связанного с доменом t.me. Данный файл широко используется различными веб-мастерами для задания параметров индексирования ресурса. Применив этот файл можно запретит поисковику индексировать определенные разделы веб-сайта, что полностью исключит возможность их появления по результатам поиска. Если сформулировать правильный запрос в Google, то можно найти 5 миллионов ссылок на чаты.

Исследователь отметил, что при помощи простого запроса вида site:t.me join, можно без проблем попасть в закрытые группы Telegram. Получается их приватность сводится на нет.

Как утверждает исследователь, он много раз обращался к разработчикам с сообщениями о найденных им уязвимостях. На сегодняшний день исправлена лишь уязвимость с раскрытием ссылок.

Источник:http://ruonion.com/news/lyuboj-mozhet-otredaktirovat-chuzhie-zapisi-v-telegram/

Для комментирования вы должны авторизоваться.

Профессиональные услуги по взлому

Мы предоставляем услуги по взлому следующих сервисов:

ВК
Instagram
Facebook
Одноклассники
Почты
WhatsApp
Telegram
Viber
imo
Signal(приватный мессенджер)
Mamba(и любые другие сайты знакомств)
Сайты(любой сложности)
Сотовые операторы (смс и звонки)
И т.д

Для заказа обращайтесь по контакту

Наши Контакты
номер телефона 89033500820
почта 89033500820.vzlom

gmail.com
https://mssg.me/uslugi_vzloma
Дмитрий

Имя	Карма
marussia	15,35
100%
Denis-Petrov-google	10,00
65%
poles	10,00
65%
kermit	9,50
62%
hitman	3,50
23%
Evgeniya-Shinkareva-google	2,00
13%
Onion	1,75
11%
Boris-Glebov-google-2	1,00
7%

Тенденция

Последние новости

Заходи из соцсетей

Горячие статьи

Популярное

Новое

Последний комментарий

Cloudflare отразила рекордную DDoS-атаку мощностью 3,8 Тбит/с

Форум события

Любой может отредактировать чужие записи в Telegram

Комментарии

Вход

Поддержи сайт

Были на сайте

Навигация

Опрос месяца

Как Вам живётся?

Чат

Мои сообщения

Поиск по сайту

Моя страница

Самые читаемые новости

Тренд

Последние комментарии

Cloudflare отразила рекордную DDoS-атаку мощностью 3,8 Тбит/с

Роскомнадзор потребовал от Discord удалить 947 запрещенных материалов

В России появится православный мессенджер "Зосима"

В России не работает Gmail. Пока только на iPhone и iPad. Проблема всероссийская

Последние новости ресурса

Кто на сайте?

События рейтинга

Новые пользователи

Лидеры месяца

Последние новости - Форум