В двух словах разберем что такое фишинг, это некая прослойка между клиентом и сервисом который хацкер хочет взломать, который получает данные клиента и отправляет его на настоящий сайт, либо куда угодно.

Ок, вроде понятно, как будем взламывать?
  • Создаем фейковую страничку авторизации VK
  • Любыми методами заставим ввести логин и пароль юзера
  • Запишем все данные и токен в базу данных


Звучит просто, а на деле ещё легче. Потому что например в Kate Mobile нет специальной формы авторизации и не исключено что приложение может записывать все ваши пароли у себя в БД для дальнейшего использования хацкеров.


Создание фейк страницы
Здесь находятся все исходники фейковой страницы.

Скачать (Google Drive)

Что дальше? И как проходит авторизация?
После скачивания, это всё ставится к себе на сервер, вешается на какой-то домен (сайт) и заманиваются пользователи на это сайт, для авторизации. Тут конечно не хватает еще одного файла, db.sql. Делиться я им конечно же не буду. Тот кто шарит, тот сам его сможет создать и настроить. Это файл базы данных, куда всё будет записываться.

Но пользователь же не совсем долбаеб, верно? Верно, есть и более продвинутые юзеры, которые читают Рителлинг, поэтому вас наебать сложнее. Но пока всё еще можно, есть официальные приложения VK IPhone / VK IPad / VK Android и прочие. Им доверять такую авторизацию не через виджет можно (Чуть позже расскажу что это за штука). Но доверять можно только через само приложение которое было скачено в AppStore / GooglePlay. В ином случае, вас разводят. Сейчас покажу как.

https://api.vk.com/oauth/token?grant_type=password&client_id=[Наше значение]&scope=[Права доступа]&client_secret=[Наше значение]&username=[Логин который ввел пользователь]&password=[Пароль который ввёл пользователь]

И так, что всё это значит?
  • clenit_id - это id нашего приложения. Запишем в client_id значение 2274003.
  • scope - права доступа, необходимые приложению. Усложнять себе жизнь мы не будем, а просто запросим офлайн токен, записав в scope значение "offline". Этого будет достаточно, чтобы входить на страницу ВК по токену через apidog.ru. !Важно: такой токен "живет" до тех пор, пока пользователь не сменит пароль, либо завершит все сессии в настройках безопасности.
  • client_secret - секретный ключ Вашего приложения. Будет равен например hHbZxrka2uZ6jB1inYsH
  • username - логин пользователя ВКонтакте
  • password - пароль пользователя ВКонтакте

Секретные ключи приложений
Но у приложений есть же секретные ключи? Всё верно. Они есть.
Вот они:

Android:
client_id: 2274003
client_secret: hHbZxrka2uZ6jB1inYsH

IPhone:
client_id: 3140623
client_secret: VeWdmVclDCtn6ihuP1nt

IPad:
client_id: 3682744
client_secret: mY6CDUswIVdJLCD3j15n

Windows desktop:
client_id: 3697615
client_secret: AlVXZFMUqyrnABp8ncuU

Windows phone:
client_id: 3502557
client_secret: PEObAuQi6KloPM4T30DV


Вы можете проверить их через CURL запрос. Но там уж сами разбирайтесь. А еще убедиться в том, что это оф. паблики вы можете по ссылке vk.com/appCLIENT_ID
Например: vk.com/app3140623

Как себя защитить?
1. Сделайте двойную аутентификацию.
2. Проверяйте ваши подключенные приложения и удаляйте не нужные.
3. Внимательно смотрите как вы проходите авторизацию, один из самых безопасных способов это виджет вконтакте .



Если вы сделали пункт номер 1, то ваша страница от такой хуйни безопасна и остальное вовсе не обязательно. Удачки!

Спасибо за то, что вы с нами.
С любовью, Рителлинг favorite