УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

		Форум АНТИЧАТ > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Песочница
Как определить УРЛ спрятанной картинки на форуме?

Опции темы

Поиск в этой теме

Опции просмотра

28.03.2013, 14:45

Igor_R

Guest

Сообщений: n/a

Провел на форуме:
3924

Репутация: 0

На одном сайте при заливке картинок они не видны посторонним пользователям, а видны лишь тому пользователю, кто залил картинку, из его аккаунта.

В свойствах этих картинок высвечиваются ссылки таких видов (адрес сайта я заменил звездочками):

http://************/_photo/image.php?s=t&n=9836954536659697

http:// ************/_photo/image.php?n=9836954536659697

Вопрос: как определить адрес этих картинок в виде http://************/**************.jpg , чтоб они были видны всем пользователям, а не лишь владельцу картинки из его аккаунта? Это вообще возможно?

29.03.2013, 20:32

BigBear

Новичок

Регистрация: 04.12.2008

Сообщений: 11

Провел на форуме:
69033

Репутация: 8

Описанная ситуация означает, что картинки хранятся в БД и ссылки на них могут быть сгенерированы как автоматически, так и просто браться названия и заноситься в бд проходя md5() преобразования.

Поиск нужного пути - одна из самых типичных и трудоёмких задач при атаке. Есть софт который тупо перебирает директории, но это сработает лишь если директория открыта на просмотр (Directory Listing). - Кстати вот и ответ, "чем плохи открытые для посмотра директории".

31.03.2013, 02:17

Igor_R

Guest

Сообщений: n/a

Провел на форуме:
3924

Репутация: 0

Цитата:

Сообщение от BigBear

BigBear said:
Описанная ситуация означает, что картинки хранятся в БД и ссылки на них могут быть сгенерированы как автоматически, так и просто браться названия и заноситься в бд проходя md5() преобразования.
Поиск нужного пути - одна из самых типичных и трудоёмких задач при атаке. Есть софт который тупо перебирает директории, но это сработает лишь если директория открыта на просмотр (
Directory Listing
). - Кстати вот и ответ, "чем плохи открытые для посмотра директории".

Спасибо, BigBear

Те директории закрыты от просмотра.

Получается, ситуация безвыходная?

31.03.2013, 21:08

BigBear

Новичок

Регистрация: 04.12.2008

Сообщений: 11

Провел на форуме:
69033

Репутация: 8

Выходит, что так.

08.04.2013, 15:14

KIR@PRO

Постоянный

Регистрация: 26.12.2007

Сообщений: 353

Провел на форуме:
905389

Репутация: 332

Отправить сообщение для KIR@PRO с помощью ICQ

ты бы ссылочку выложил, может и выяснилось чего... а так согласен с остальными высказываниями.

Бывает, что тот кто писал движок, пытался запутать пользователя, и не создавал базы, а геморойно запрятывал ссылку, чтоб ручками долго искать было... (сталкивался с такими случаями, но это было пару раз)

09.04.2013, 00:28

Igor_R

Guest

Сообщений: n/a

Провел на форуме:
3924

Репутация: 0

Цитата:

Сообщение от KIR@PRO

KIR@PRO said:
ты бы ссылочку выложил, может и выяснилось чего... а так согласен с остальными высказываниями.
Бывает, что тот кто писал движок, пытался запутать пользователя, и не создавал базы, а геморойно запрятывал ссылку, чтоб ручками долго искать было... (сталкивался с такими случаями, но это было пару раз)

KIR@PRO, ответил в личку.

04.05.2013, 01:48

John_Doe

Guest

Сообщений: n/a

Провел на форуме:
2777

Репутация: 0

есть мысль, что проще всего использовать брутфорс. если есть возможность, посмотри свой ид и поищи похожие числа в ссылке картинки, вдруг админ написал такой движок, что генерируется имя файла ид+цифры из мд5 хеша или что-нибудь такое.

04.05.2013, 19:41

Igor_R

Guest

Сообщений: n/a

Провел на форуме:
3924

Репутация: 0

John_Doe, там нет id - есть только буквенные логины

* * * * * * * * * * * * * * * * * * * * * * *

И вот еще вопрос, задам тут чтоб не плодить топики.

Сорри если такой вопрос поднимался

В общем, можно ли по УРЛ картинки из Вконтакте узнать, какому пользователю принадлежит фото?

Для примера я взял первую попавшуюся

картинку из альбома первого попавшегося пользователя:

http://cs1229.vk.me/u187687/71897775/x_2d378e59.jpg

Есть ли механизмы/алгоритмы/программы и т.д., позволяющие определить, кому принадлежит фото?