`
623deyingxiong
  • 浏览: 189934 次
  • 性别: Icon_minigender_1
  • 来自: 北京
社区版块
存档分类
最新评论

人人网相册漏洞:非好友可查看隐私相册

阅读更多
  人人网的相册可设置为只对好友可见,但是今天一个偶尔的机会发现非好友也可以看到隐私相册,于是顺便就给一个好朋友留了言。
  具体描述一下漏洞:
(1) 首先自己要登陆,假设你要偷看的用户是A,然后搜索A的名字(前提你要知道他(她)叫什么哪个学校,户籍,性别等等)。
(2) 发现A的相册是只对好友开放的,不要急,看到地址栏里www.renren.com/后面的数字了吗?那是用户的唯一标识,对A的ID稍微做修改(稍微,就是从这串数字的第二位开始,每次只修改一位)。访问修改后的ID(假设为用户B的ID)所代表的用户首页。如:你要访问的用户A的ID是234164190,将第二位3改为4,修改后的用户B的首页地址是www.renren.com/244164190/profile.同理修改第345位。
(3) 重复(2)直到新得到的用户B的相册是可以访问的。
(4) 进入B的某个相册,地址栏现在的模式应该是:photo.renren.com/(ID)/album-(相册编号)别忘了你要偷看的是不对外开放相册的用户A的相册。现在将地址栏里B的ID改回A的ID。回车。
(5) 神奇的时刻来到了,页面上用户B的名字刷新成了用户A的名字。你还会发现右侧有几个用户A的相册超链接(没错,就是那几个小方块)。
(6)点击小方块,恭喜你打开了A的相册。你可以留言,不管你是否留言,因为你已经登陆了,所以A肯定会发现你访问过他的主页。

这里暴露了两个BUG:
(1) 相册访问没有权限验证的步骤,我觉得如果资源充足,完全可以写个程序暴力猜测相册编号。人人网貌似也没有反爬虫机制吧。
(2) 暴力破解?完全没必要,因为上面的hack过程说明了一个问题:相册的编号似乎跟用户ID有关系,要不然怎么两个相似ID对应同一个相册编号?初步猜测是由ID后两位(后一位?)作为因子生成的九位随机数。


本文纯属虚构,如有雷同纯属巧合。

add----------------------------------
人人网已更新,此漏洞已不存在。
分享到:
评论
1 楼 Adam289 2013-05-30  
。。。。。。。。。。。。。。。。。。

相关推荐

    人人网非好友相册查看下载器

    【人人网非好友相册查看下载器】是一款专门针对人人网设计的工具,它允许用户查看并下载那些在正常情况下由于隐私设置无法访问的非好友相册中的图片资源。这款软件的核心功能在于突破了人人网的隐私限制,使得用户...

    人人网(校内网)相册批量下载工具

    3.然后选择下载图片的命名方式,“图片默认名字”方式会按照人人网自动生成的图片名字来下载。“相册名字前缀”方式会以相册的名字为图片的前缀来下载图片。 3.完成前两步后点击“下载相册”就OK了,如果相片很多的...

    人人网好友相册采集器

    【人人网好友相册采集器】是一款专门针对人人网(原校内网)设计的工具,主要用于自动收集用户好友的相册图片,并将其保存到本地。这款采集器具备一定的自动化功能,用户只需输入账号和密码,设定好目标存储路径,...

    人人爬虫 ( 一键下载好友相册日志 )

    在本项目"人人爬虫 ( 一键下载好友相册日志 )"中,我们探讨的是如何通过编写爬虫程序,实现自动化地下载人人网上好友的相册和日志,这对于备份个人数据或者研究社交媒体内容具有一定的价值。 爬虫是一种自动浏览...

    校内网 人人网 校内相册 批量下载程序

    总的来说,“校内网人人网相册批量下载程序”是用户管理和备份网络相册的有效工具,它利用先进的技术解决了数据迁移中的实际问题,同时也提醒我们在享受科技便利的同时,要注重个人信息安全和隐私保护。

    人人网相册助手(RenRenAlbumAssistant) V1.1.1

    人人网相册助手(RenRenAlbumAssistant)可以批量下载人人网的好友或者公共主页相册 基于开源项目-晴枫人人网下载器(witmax.cn),重写了爬虫分析代码和下载策略,增加了一些功能,解决了60张上限的问题。 软件需要.NET...

    校内网 人人网 相册 下载 相册批量下载程序

    《校内网人人网相册批量下载程序解析与应用》 在互联网的早期阶段,校内网(又称人人网)作为一个社交平台,深受广大用户的喜爱,尤其是学生群体,其中的相册功能更是用户分享生活点滴的重要途径。然而,随着网络...

    人人网相册批量下载

    人人网相册批量下载工具,如“大狼狗人人网相册下载助手”,是一种专门针对人人网(原校内网)平台设计的应用程序,旨在帮助用户快速、方便地下载自己或他人在该平台上分享的相册图片。在互联网上保存个人或他人的...

    人人相册批量下载工具

    1.输入对方人人网(校内)id,点击[查看相册]按钮便可预览到相册列表; 2.选择要下载的相册,点击[开始下载]按钮便可下载图片到本地。 获取好友的id:在浏览器中登陆人人网,点击好友进入TA的主页,此时浏览器地址栏...

    校内人人网相册批量下载软件 12月15日更新

    标题中的“校内人人网相册批量下载软件 12月15日更新”表明这是一个专为下载校内人人网(即后来的“人人网”)用户相册设计的工具,该工具在2009年12月15日进行了更新,可能包括性能优化、功能增强或修复已知问题,...

    吾爱破解人人网相册批量下载工具V1.0免费绿色版

    吾爱破解人人网相册批量下载工具是由吾爱破解论坛网友为人人网制作的一款相册批量下载软件。通过该软件,用户只需登录人人网账号,就可以批量解析并下载指定相册中的所有图片。而且支持多线程下载,帮助你轻松下载...

    Node.js-人人网相册获取

    标题 "Node.js-人人网相册获取" 涉及的知识点主要集中在使用 Node.js 这一 JavaScript 后端框架来实现对人人网相册数据的抓取和处理。这通常包括以下几个方面: 1. **Node.js 基础**:Node.js 是一个基于 Chrome V8...

    人人极速相册(人人网图片上传软件) v1.2 官方正式版.zip

    人人极速相册是人人网官方最新推出的图片上传软件。可以不开网页、批量上传图片,还支持快速排序、全屏查看等诸多功能。上传图片更快、更多、更方便! 人人极速相册(人人网图片上传软件) v1.2 官方正式版更新内容:...

    renrenDownloader:人人好友相册下载器

    人人相册下载器 ============================ 不知道从什么时候起登陆人人的次数越来越少,但是上面还有很多我和我朋友的照片,这个软件就是帮助你下载人人上所有好友的照片 人人相册下载器能干什么? 下载人人网上...

    人人网相册导出工具 羊羊人人相册批量下载 v1.0

    《人人网相册导出工具——羊羊人人相册批量下载v1.0详解》 在互联网时代,社交网络成为了我们记录生活、分享记忆的重要平台,其中人人网曾是深受大学生喜爱的社交网站之一,而如何高效地保存这些珍贵的照片就显得尤...

    人人网怎么快速添加好友.docx

    本文档主要介绍了在人人网上快速添加好友、管理好友以及设置相关隐私功能的方法。 首先,添加好友是人人网社交的基础。要添加好友,你需要找到你想要添加的人的个人页面,点击页面上的“加为好友”按钮,然后发送...

    人人相册下载器 C#版

    【人人相册下载器 C#版】是一款专为下载人人网相册而设计的应用程序,由开发者自行编写,旨在提供一个免费的解决方案,用于获取并保存个人或他人在人人网分享的相册图片。该软件可能特别适用于那些喜欢摄影、需要...

    校内(人人)相册图片批量下载

    标题中的“校内(人人)相册图片批量下载”指的是针对中国早期流行的社交网络平台“人人网”(原校内网)的一项功能。人人网在鼎盛时期,用户可以创建并分享个人相册,其中包含了大量照片。由于互联网发展和平台变迁...

    如何批量下载人人网相册图片.docx

    这篇文档将指导你如何通过使用Google Chrome浏览器及其扩展插件“人人网改造器”来批量下载人人网相册的图片,从而避免手动一张张下载的麻烦。 首先,你需要安装Google Chrome浏览器。Chrome以其稳定性和丰富的扩展...

Global site tag (gtag.js) - Google Analytics