Уязвимость «ВКонтакте» позволяла получить прямые ссылки на приватные фотографии

Была обнаружена уязвимость в закладках ВК, которая позволяла получать прямые ссылки на приватные фотографии из личных сообщений, альбомов любого пользователя/группы. Был написан скрипт, который перебирал фотографии пользователя за определенный период и затем, через эту уязвимость получал прямые ссылки на изображения. Если коротко, то: можно было за 1 минуту получить все ваши вчерашние фотографии, за 7 минут — все фото, загруженные на прошлой неделе, за 20 минут — прошлый месяц, за 2 часа — прошлый год. Уязвимость на данный момент исправлена. Администрация ВКонтакте выплатила вознаграждение в 10к голосов.
История началась с того, как мне в личку во «Вконтакте» кинули изображение. Обычно, если вещь важная, я её загружаю в облако, но в моём случае в этом не было необходимости, и я решил воспользоваться функцией закладок «Вконтакте». Коротко про эту функциональность: в закладки добавляются все вещи, которые юзер лайкнул; также есть функция ручного добавления ссылки на пользователя и внутренней ссылки «ВКонтакте». Последний пункт мне показался очень интересным, так как после добавления ссылки на фото я увидел его превьюшку и текст с типом добавленной сущности:
При добавлении ссылки сервер парсит её, пытается выяснить, на какую сущность она ссылается и достает информацию об этом объекте из базы. Как правило, при написании такого рода функций с множеством условий вероятность того, что разработчик что-то забудет, очень высока. Поэтому я не смог себе позволить пройти мимо и решил потратить несколько минут, чтобы немного поэкспериментировать.

В результате мне удалось кое-что найти. При добавлении ссылки на фотографию, заметку или видео, к которым нет доступа, можно было получить немного приватной информации об объекте. В случае с фото и видео — это маленькая (150×150) превьюшка, на которой довольно сложно что-либо разглядеть, у приватных заметок отображалось название. Через метод API fave.getLinks

можно было получить ссылки на изображение, но опять же слишком маленького размера (75px и 130px). Так что, по сути, ничего серьезного.

Я решил зайти на мобильную версию сайта, чтобы проверить, отображается ли там всё так же, как и в обычной версии. Заглянув в код странички, я увидел это:

Да! В значении атрибута data-src_big

хранилась прямая ссылка на оригинал изображения!

Таким образом, можно было получить прямую ссылку на любое изображение во «Вконтакте», вне зависимости от того, куда оно загружалось и какие настройки приватности имело. Это могло быть изображение из личных сообщений или же фотография из приватных альбомов любого пользователя/группы.

Казалось бы, на этом можно было остановиться и написать разработчикам, но мне стало интересно, возможно ли, эксплуатируя эту уязвимость, получить доступ ко всем (ну или загруженным в определенный период времени) фотографиям юзера. Основной проблемой тут, как вы понимаете, являлось то, что не всегда известна ссылка на приватную фотографию вида photoXXXXXX_XXXXXXX

, которую нужно добавить в закладки. В голову пришла мысль о переборе id фотки, но я её почему-то тут же отверг как сумасшедшую. Я проверил связанные с фотографиями методы в API, посмотрел, как приложение работает с альбомами, но никаких утечек, которые могли бы мне помочь получить список с айдишками всех закрытых фоток юзера, найти не удалось. Я уже хотел было бросить эту затею, но взглянув еще раз на ссылку с фотографией, вдруг понял, что перебор таки был хорошей идеей.

По ссылке

С помощью стандартного поиска ВК есть возможность найти не только нужный файл, но и его владельца. Чтобы такое действие увенчалось успехом, его профиль должен быть открыт, а фотография находилась в свободном доступе. Поиск фото в ВК по ID осуществляется следующим образом:

• Зайдите на свою страницу. Удобнее будет с версии ВК для ПК.
• Загрузите нужное фото в свой альбом, который не скрыт.
• Нажмите на картинку, чтобы открыть ее в отдельном окне. В адресной строке вы увидите ссылку на нее.
• Теперь вам нужно ID фотографии. Находится он между словом photo включительно и знаком процента %. Выделите часть ссылки и скопируйте ее в буфер обмена.

• Перейдите на главную страницу ВК и нажмите на раздел «Новости», расположенный в левом блоке.
• В правом блоке щелкните по пункту «Фотографии», чтобы поиск происходил исключительно между изображениями.
• В поисковой строке введите следующий запрос: copy:+ID нужного фото. Нажмите на клавишу Enter.
• В результатах поиска отобразятся варианты изображения. То, которое было добавлено, раньше всех, является искомым. Узнать это можно, перейдя в окно просмотра каждого фото.

Способ практически не срабатывает с оригинальными фотографиями. В основном, поиск может отыскать именно картинки.

Поиск фото в ВК по ссылке – самый простой и удобный способ. Но если вам не удалось найти с его помощью нужное вам изображение, воспользуйтесь другими методами, о которых вы узнаете ниже.

Перед тем, как найти фото в ВК по тексту, вспомните ключевые слова из подписи к фото. Если оно опубликовано на странице пользователя или в сообществе, воспользуйтесь поисковой строкой, которая расположена сразу над постами. Для этого нажмите на иконку в виде лупы. Этот способ доступен и для общего поиска в социальной сети, но в этом случае, чем больше текста вы помните, тем эффективней будет результат.

По геолокации

Современные мобильные устройства способны автоматически определять местоположения пользователя во время создания фотоснимка. Поэтому возможен поиск фото по геолокации Вконтакте.

Такой способ сработает лишь в том случае, если у пользователя не отключена автоматическая привязка геотегов к фотографиям.

Для быстрого поиска фото по геолокации вы можете воспользоваться стандартными инструментами ВК:

• Авторизуйтесь в ВК и перейдите в раздел «Новости».
• В правом блоке нажмите на пункт «Поиск», нажмите на раскрывающееся меню параметров и пролистайте страницу вниз. Здесь вы увидите значок геолокации. Щелкните по нему.

• Если вы знаете, где примерно была сделана фотографии, то введите адрес или найдите место на встроенной карте от Яндекс.
• Нажмите на кнопку «Искать по записям неподалеку».

• В результатах поиска вы увидите все фотографии с геотегами, которые вы выбрали.

Вы можете более тонко настроить показ результатов с помощью инструментов, расположенных справа. Единственным минусом поиска является отсутствие фильтрации результатов по дате.

Поисковые системы

Поисковые системы позволяют найти фото из ВК в интернете. Принцип работы у всех поисковиков аналогичен: они ищут изображение, которое похоже на исходник, по всем ресурсам. Но в зависимости от способа получения ссылок, в процессе есть некоторые различия.

Поисковая система Яндекс

Чтобы найти картинку ВК через Яндекс, следуйте пошаговой инструкции:

• Зайдите на главную страницу Яндекс. Нажмите на раздел «Картинки», который находится над поисковой строкой.
• Чтобы добавить изображение, нажмите на значок в виде фотоаппарата. Откроется поле, где вы можете выбрать один из вариантов: загрузить фото с носителя или вставить ссылку на фото из стороннего источника.

• После того, как картинка загружена, нажмите на клавишу Enter.
• В результатах поиска вы увидите все фото, похожие на исходник или совпадающие с ним.

Пролистайте ниже, чтобы увидеть перечень всех сайтов, где опубликована фотография. Выберите ссылку из социальной сети и перейдите по ней.

Поисковая система Google

Алгоритм поиска в Гугл почти не отличается от Яндекс поиска, но сам процесс имеет небольшие различия:

• Перейдите на главную страницу поисковика и нажмите на кнопку «Картинки», расположенную в верхнем правом углу окна.
• Рядом с поисковой строкой нажмите на иконку в виде фотоаппарата. В выпадающей форме выберите, каким способом вы будете загружать картинку.

• После загрузки нажмите на кнопку «Поиск по картинке».
• Результаты поиска отобразят ссылки с наиболее подходящим вариантом, а также похожие изображения.

Поисковые системы помогают найти похожие фото в ВК, а также на других ресурсах. Для более эффективного и быстрого поиска добавьте некоторые сведения. Например, фамилию и имя пользователя иди описание.

Если по фотографии вы ищите конкретного пользователя, то следует учитывать, что исходное фото должно стоять на его аватарке. Если она была поменяна, то в результатах поиска не отобразится ссылка на профиль.

Сообщаем об уязвимости

Сначала репорт был отправлен службе поддержки, но после ответа вида «спасибо, как-нибудь пофиксим наверное…» и недели ожидания, мне что-то стало грустно. Большое спасибо Bo0oM, который помог связаться с разработчиками напрямую. После этого баги закрыли в течение нескольких часов, а через несколько дней на мой счёт администрация перевела вознаграждение в размере 10к голосов.

Целенаправленно исследованием ВК я никогда не занимался, но после такого, почти случайного обнаружения этой уязвимости серьезно начал задумываться о том, чтобы потратить несколько часиков на полноценный аудит этой социальной сети. У «ВКонтакте» нет официальной баг баунти программы, поэтому whitehat ресерчеры обходят этот сайт стороной, а другие, менее «белые» хакеры, просто тихо пользуются ошибками в своих целях, либо продают их. Так что, думаю, ещё парочку подобных уязвимостей в ВК можно найти.

Всем добра!

Сторонние сервисы

Существуют специальные сервисы, которые позволяют найти фотографии пользователей. Поисковый алгоритм такого софта основывается на сравнении черт лиц людей с опубликованными аватарками в ВК Одним из лучших сервисов является Tofiner. Он ищет фотографии по точным совпадениям. Несмотря на то, что иногда удовлетворительный результат получается не с первого раза, сервис является бесплатным и функциональным.

Интерфейс Tofinder прост и интуитивно понятен. На главной странице вам будет предложено загрузить исходную картинку или вставить на нее ссылку из открытого ресурса. После загрузки вам придется ввести несложную капчу и ждите результатов. Если не получилось найти с первого раза, попробуйте сделать это еще раз.

Для более точного и эффективного поиска сервис позволяет использовать фильтр по следующим параметрам:

• по полу;
• по семейному положению;
• по городу;
• по возрасту.

Как только вы увидите нужное фото в результате, нажмите на него и выберите ссылку для перехода в профиль ВК.

Как найти сохраненные фото?

Раньше альбом пользователя с сохраненными фотографиями был в свободном доступе. Но с 2021 года разработчики закрыли такие альбомы. Это произошло из-за того, что многие пользователи не знали, что их картинку могут видеть все, поэтому сохраняли не всегда пристойные изображения.

Где найти сохраненные фото в Контакте? Если вы хотите посмотреть свои картинки, то перейдите в раздел «Фотографии». В блоке «Мои альбомы» вы увидите альбом с ними. Если рядом с названием стоит значок в виде замка, то он доступен для просмотра только вам.

Посмотреть сохраненные изображения у других пользователей получится лишь в том случае, если альбом открытый.

Но поиск скрытых фото в ВК возможен через адресную строку браузера. Этот способ следует использовать в исключительных случаях, чтобы не нарушать приватность пользователя. Чтобы увидеть недоступные альбомы, сделайте следующее:

1. Для начала необходимо найти ID пользователя. Как правило, он отображается в адресной строке на странице профиля. Если ID после vk.com/ представляет собой цифровое значение, просто скопируйте его в буфер обмена. В случае, если там никнейм или фамилия на латинице, откройте любую часть страницы, например, аватарку. После слова «photo» вы увидете цифры в адресной строке – это и есть ID.
2. В адресной строке введите следующее: vk.com/albumsID***, где звездочки обозначают скопированные цифры. Нажмите на клавишу Enter.

Откроется окно со всеми скрытыми альбомами и фотографиями. Но и ваши фотографии не будут под защитой, если кто-либо знает такой способ просмотра.

На наших устройствах данный способ не сработал, но может у вас получится!

Что в ней можно найти

Прежде всего фото, которые не выложены у пользователя ВКонтакте в открытый доступ, но, тем не менее, где-то как-то были засвечены: в сообществе, в кругу друзей и тому подобных альбомах. В общем вы сможете увидеть больше, чем положено. Хотя не все пользователи есть в скотобазе, и не все новейшие сливы залиты туда. Как я уже сказала, я нашла там свои фото от 2008 года, но новейшие фото пользователей вы вряд ли найдете просто потому, что сервис в настоящий момент перестал собирать фотографии.

Как найти удаленные фото?

ВК на серверах сохраняет все удаленные фотографии. Но просмотр таких изображений не предусмотрен, поэтому необходимо воспользоваться помощью поисковой системы Google. Основная проблема заключается в том, что на фото не осталось ссылки. Иначе ее можно было ввести в поисковую строку и найти. Поэтому перед тем, как найти удаленные фотографии в ВК, напишите в строке поиска имя и фамилию пользователя или вставьте адрес на его профиль.

В появившихся результатах найдите нужную ссылку и нажмите на маленький треугольник рядом с ней. В открывшемся меню щелкните по пункту «Сохраненная копия». Здесь вы можете найти фото, которое было удалено.

Обратите внимание, что это не единственный способ, как можно посмотреть и восстановить удаленные фото. Но стоит помнить о том, что чем меньше времени прошло с момента удаления, тем выше шансы на успех.

Существует еще один способ, как найти старые фото в ВК. Это сработает в том случае, если кеш браузера давно не чистился. Все открытые фотографии хранятся в папках на жестком диске ПК. Чтобы отыскать изображения:

• Сделайте видимыми скрытые папки через настройки панели управления компьютера.

• Затем перейдите в директорию AppData, которая расположена на локальном диске C в папке «Пользователи».

• Затем перейдите в Local и открывайте папки с именем браузера, дойдите на директории Cache.

• Для удобства поиска нужной фотографии используйте файловые менеджеры, например, Total Commander.

Теперь найти картинку в ВК не составит труда. Вы можете отыскать ее по ссылке, геолокации или в кеше браузера. Поисковые системы используют специальный алгоритм, при котором сравнивают исходное изображение и находят похожие. Кроме того, ID пользователя сможет открыть вам доступ к сохраненным и скрытым альбомам.

Как скачать фото с Вконтакте на компьютер

Кому из пользователей популярных социальных сетей не знакома такая ситуация – понравилась фотография друзей или подруг, нашли редкий снимок, уникальную подборку ярких картинок, и теперь необходимо перенести эту красоту на свой рабочий стол?

Хорошо, если опыт и интуиция сами подскажут, как действовать и в какую папку сохранить изображение. А если нет? Тогда лучше обратиться к знающим людям – друзьям, коллегам или близким родственникам. Скорее всего, они сумеют не только сделать это, но и научить вас, ведь ничего сложного в процедуре нет – пара нехитрых манипуляций.

Однако если вы читаете эту статью, то обязательно сможете скачать фотографию с ВКонтакте без посторонней помощи. А если в вашем компьютере или ноутбуке еще установлено приложение SaveFrom.net – помощник скачивания, то получится сохранять без проблем не только один снимок за другим поочередно, а целый фотоальбом всего одним кликом.

Очень важно иметь собственный аккаунт ВКонтакте, так как некоторые профили его пользователей скрыты от глаз незарегистрированных посетителей, а значит, информация будет вам недоступна.

Как скачать фото с ВКонтакте

ВКонтакте — социальная сеть, которая хранит в себе миллиарды всевозможных фотографий. Если вам понравилось какое-то изображение то, сохранить его к себе на телефон или компьютер, не составит никакого труда. Просто следуйте не сложным инструкциям и наслаждайтесь скачанным фото. В предложенных рекомендациях мы рассмотрим несколько вариантов скачивания фотографии с ВКонтакте.

Правила скачивания

Итак, вы вошли в сеть теперь собираетесь скачать фотографию. Для этого:

• откройте ее полностью, кликнув по ней левой кнопкой мыши, если хотите получить изображение в высоком разрешении, а не мини-копию;
• нажмите на правую кнопку мыши и в открывшейся панели выберите «сохранить картинку как…»;
• укажите папку для сохранения, диск, или рабочий стол.

Если не получилось сохранить фотографию в том месте, где планировали, вероятнее всего, найдете ее в папке «Загрузки», или «Download».

Для этого:

• выберите на рабочем столе иконку с названием «Мой компьютер» и кликните по ней;
• найдите слева в углу папку «Загрузки» и откройте ее, щелкнув по ней;
• поищите загруженный файл и мышкой перенесите на рабочий стол.

Еще один простой и легкий способ сохранения и скачивания фотографий:

• Зайдите на страничку пользователя, фото которого хотите скачать и откройте понравившуюся фотографию.
• В правой части окна вы увидите ссылочку «Сохранить к себе»

• Нажав на ссылку, вы сможете сохранить фотографию на свою персональную страницу ВКонтакте.
• Открыв раздел «Мои фотографии» найдите сохраненное фото
• Далее вы можете скачать фото к себе на компьютер или телефон, или просто оставить в своей папке на странице.

Как скачать фото с вк на компьютер без потери качества

Для того чтобы скачать фотографию на свой компьютер и не потерять высокое качество изображения, воспользуйтесь следующей инструкцией.

• Зайдите во вкладку «Мои фотографии» и найди там фото, которое хотите скачать.
• Откройте фото и нажмите на него правой кнопкой мышки
• В открывшимся меню выберите пункт «Сохранить изображение как…»
• Теперь выберите формат для изображения, в котором вы хотите его сохранить на свой компьютер
• Нажмите на панельку «Сохранить» и разместите фото в нужной папке.
• Для того, чтобы сохранить высокое разрешение фотографии, вам нужно будет открыть «Оригинал фото», панель которого находиться справа внизу под изображением.

• Открыв «Оригинал фото» вы увидите полный размер фотографии и сможете скачать его без потери качества.
• Далее, скачайте фото следуя тем же инструкциям, которые вы использовали для загрузки обычного размера фото.
• Однако, следует учитывать тот факт, что другой пользователь мог загрузить изображение с высоким качеством как «фотографию», а не как «документ». В таком случае качество изображения сильно пострадает и высокое разрешение картинки будет утеряно, даже если вы будете скачивать его из «Оригинала фото».

Как скачать фото с вк без регистрации

Если вы зарегистрированный пользователь ВКонтакте то, скачать фотографию или изображение для вас не составит никакого труда. Но что делать, если у вас нет аккаунта во Вконтакте, а вы хотите скачать изображение?

Если пользователь не поставил на свою персональную страничку настройки конфиденциальности, которые ограничивают доступ других пользователей к его профилю то, вы легко сможете заходить на его аккаунт и скачивать фотографии. Но, если же такие настройки стоят и скрывают фотографии то, увидеть их и скачать будет практически невозможно. Для того чтобы скачать фото без регистрации, вы можете воспользоваться специальными программами и приложениями, которые предоставляют такую возможность. Например, есть ряд программ, которые могут скачать целые альбомы с фотографиями если вы введете в их поисковую строку адрес нужной страницы. Также вы можете увеличить масштаб страницы и сделать простой скриншот. Однако, таком случае ни о каком качестве не стоит даже упоминать.

Как загрузить большое количество фотографий с Вконтакте?

Иногда бывает необходимо скачать с ВКонтакте не десять или двадцать фотографий, а сотню и даже тысячу к себе на диск. Эта процедура может продлиться нереально долго и утомительно, занять уйму драгоценного времени.

Возникает вопрос: а можно ли сделать все быстро, без усилий и максимально безопасно? На самом деле есть не один, а даже несколько способов. Останется только решить, какой из них вам придется по душе и покажется наименее сложным.

Первый способ

Установив SaveFrom.net помощник, можно легко и бесплатно скачать понравившийся фотоальбом любимых сообществ или определенных пользователей целиком в компьютер напрямую с любой страницы ВКонтакте. Только после установки программки не забудьте включить расширение в используемом браузере.

Далее следует:

• войти в свой профиль и найти в колонке слева «Фотографии», «Мои альбомы», выбрать нужный среди них, а затем скачать его, кликнув по высветившейся над эскизами снимков соответствующей кнопке;
• если нужны интересные фотоматериалы какого-то сообщества, то заходим на его страницу, справа внизу выбираем «Фотоальбомы», затем кликаем левой кнопкой мыши на «скачать фотоальбом».

Эта же программа позволит совершенно бесплатно скачивать не только изображения, но и видеоролики, аудиотреки с популярных сайтов, видеохостингов в хорошем качестве. Обратите внимание на синюю стрелку, которая появится возле каждой видео- и аудиозаписи. Стоит кликнуть по ней и начнется закачка.

Расширение работает на самых известных браузерах и его легко отключить при надобности. Таким образом, вы приобретаете универсального помощника для скачивания любимых фильмов и музыки.

Второй способ

Скачать большое количество изображений можно с помощью специального платного сервиса загрузки и переноса альбомов, для чего необходимо перейти по адресу https://vkpic.ru/ и вставить ссылку на источник (группу, профиль, альбом), где находятся интересующие вас фотоматериалы.

• приложение потребует войти в аккаунт ВКонтакте, запросит доступ к общей информации, фотографиям в любое время, а также к электронному адресу – последний запрос желательно запретить;
• далее, сервис предложит на выбор доступные для скачивания альбомы, и нужно будет отметить их галочкой;
• последнее, что придется сделать – выбрать действие: скачать все фото одним архивом.

Таким образом, приложение опубликует архив с вашими фотоснимками и после оплаты предоставит ссылку на сервер. Через неделю он благополучно удалится.

Также посредством услуг этого сайта можно перенести альбом из одного профиля в другой, указывая в пункте назначения ссылку на страницу, куда его следует перенести.

За загрузку каждых 200 фотографий нужно оплатить 1 кредит ценностью в 5 рублей. Купить их можно банковской картой или электронными деньгами. Приятно то, что первый вход на сайт предоставляет стартовый кредит, которого достаточно для загрузки около двух тысяч фотографий.

Третий способ

Если вышеназванные варианты не устроили, предлагаем вашему вниманию еще один бесплатный способ, позволяющий скачивать любые файлы в максимальном количестве – это установка программы VKMusic 4. Практически это аналог SaveFrom.net помощника, но с другим интерфейсом и некоторой разницей в функциях. Кому-то он кажется более удобным, поэтому на всякий случай расскажем о том, как с его помощью можно скачать фотоальбом.

Прежде всего, понадобится адрес странички, где он расположен. Его необходимо обязательно скопировать. Затем:

• в главном меню VKMusic найти пункт «ВКонтакте» и кликнуть по нему;
• в открывшемся окошке выбрать «скачать фотоальбом с контакта»;
• в диалоговом окне для ввода параметров вставить в поле скопированную ссылку;
• во втором поле указать папку для сохранения;
• нажать на кнопку «скачать фотоальбом».

Все фотографии и картинки сохранятся в указанной папке в том же самом качестве, как они были загружены. Разумеется, при условии, что данный альбом не был закрыт пользователем для просмотра. В этом случае система выдаст уведомление об ошибке при загрузке.

Кроме перечисленных трех способов, действует сервер «загрузка альбомов из вконтакте». Этот сайт позволит получить до 1000 изображений одним кликом. При этом нет необходимости загружать какую-либо программку, достаточно лишь выйти на нужную страницу и ввести в поле скопированную предварительно ссылку на альбом. Нажмите на кнопку «Поехали» и в результате загружается Zip-архив с альбомом и нужными снимками на ваш компьютер.

Четвертый способ

Если вы не хотите ничего устанавливать, никаких программ и расширений, а так же не собираетесь давать посторонним сайтам доступ к своему аккаунту Вконтакте, но все же хотите скачать много, а то и все, фотографии из альбомов ВК, вам поможет специальный сервис — парсер фото Вконтакте

— с ним легко можно скачивать любое количество фотографий из альбомов ВК или стен, а, главное, не только из своего аккаунта, но и из любых сообществ и стен любых пользователей ВК, не делая никакой «авторизации» своим аккаунтом Вконтакте!

Надеемся, что эта статья помогла. Теперь вы сможете самостоятельно скачать любое количество фотографий с ВКонтакте и наслаждаться их просмотром.