原
版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA版权协议,转载请附上原文出处链接和本声明。
人人网的相册可设置为只对好友可见,但是今天一个偶尔的机会发现非好友也可以看到隐私相册,于是顺便就给一个好朋友留了言。
具体描述一下漏洞:
(1) 首先自己要登陆,假设你要偷看的用户是A,然后搜索A的名字(前提你要知道他(她)叫什么哪个学校,户籍,性别等等)。
(2) 发现A的相册是只对好友开放的,不要急,看到地址栏里www.renren.com/后面的数字了吗?那是用户的唯一标识,对A的ID稍微做修改(稍微,就是从这串数字的第二位开始,每次只修改一位)。访问修改后的ID(假设为用户B的ID)所代表的用户首页。如:你要访问的用户A的ID是234164190,将第二位3改为4,修改后的用户B的首页地址是www.renren.com/244164190/profile.同理修改第345位。
(3) 重复(2)直到新得到的用户B的相册是可以访问的。
(4) 进入B的某个相册,地址栏现在的模式应该是:photo.renren.com/(ID)/album-(相册编号)别忘了你要偷看的是不对外开放相册的用户A的相册。现在将地址栏里B的ID改回A的ID。回车。
(5) 神奇的时刻来到了,页面上用户B的名字刷新成了用户A的名字。你还会发现右侧有几个用户A的相册超链接(没错,就是那几个小方块)。
(6)点击小方块,恭喜你打开了A的相册。你可以留言,不管你是否留言,因为你已经登陆了,所以A肯定会发现你访问过他的主页。
这里暴露了两个BUG:
(1) 相册访问没有权限验证的步骤,我觉得如果资源充足,完全可以写个程序暴力猜测相册编号。人人网貌似也没有反爬虫机制吧。
(2) 暴力破解?完全没必要,因为上面的hack过程说明了一个问题:相册的编号似乎跟用户ID有关系,要不然怎么两个相似ID对应同一个相册编号?初步猜测是由ID后两位(后一位?)作为因子生成的九位随机数。
本文纯属虚构,如有雷同纯属巧合。
add----------------------------------
人人网已更新,此漏洞已不存在。
1.访问对方主页,发现“相册”处为灰色,无法进入,没关系。复制下Ta的人人网id2.访问:http://photo.renren.com/getalbumprofile.do?owner=Ta的id这...博文来自: wusuopuBUPT的专栏
转自http://blog.csdn.net/ituff/article/details/12091269想看某些人的状态,但是ta又不是我的好友,也不敢申请加为好友只好这么办了:步骤一:在地址栏上...博文来自: chao
如何利用Q哥Q妹图标来看加密的QQ空间和相册大家看详细操作假如对方的QQ空间加了密而你又很想看那你就让对方点他的Q哥Q妹图标或者点他好友上的Q哥Q妹图标(意思就是对方点谁的Q哥Q妹图标都可以)然后出来...博文来自: baiseda
在学校论坛上看见一个chrome插件,可以用来进行人人网搜索,查看照片,方便好用,在此共享,下载地址:猛击这里下载以下是该工具的设计思路steps:...博文 无知的我
自己去年做的一个人人网相册采集器,输入帐号密码,设置好存储路径,就可按照 “帐号/好友名称/相册名称”的组织方式将该帐号所有的好友照片采集到本地。
下载
一个小爬虫,下载人人网全部好友的所有相册,有兴趣的可以看看,运行后需要根据命令行提示登录人人,下载后按照好友名称和好友相册名分文件夹存储。是按照另外一个资源改的,做了一些改进,添加了分类和读取好友名称及相册名,长时间运行不卡死,对不能作为...
下载
所有环境均在 OS X 下操作,不保证 Windows 的兼容性(如果 windows 中无法弹出验证码,可以在 locals 目录下查看)。
下载
已经过期了,http://download.csdn.net/source/1907553,这个是新的软件地址,12月15日更新
下载
#!/usr/bin/envpython#-*-coding:utf-8-*-#@Date:2017-10-1810:04:04#@Author:awakeljw(liujw15@mails.tsin...博文来自: awakeljw的博客
想看某些人的状态,但是ta又不是我的好友,也不敢申请加为好友只好这么办了:步骤一:在地址栏上输入http://www.renren.com/home#//status/status?id=步骤二:搜索...博文来自: Hsiao的二进制生活