人人网的相册可设置为只对好友可见,但是今天一个偶尔的机会发现非好友也可以看到隐私相册,于是顺便就给一个好朋友留了言。
具体描述一下漏洞:
(1) 首先自己要登陆,假设你要偷看的用户是A,然后搜索A的名字(前提你要知道他(她)叫什么哪个学校,户籍,性别等等)。
(2) 发现A的相册是只对好友开放的,不要急,看到地址栏里www.renren.com/后面的数字了吗?那是用户的唯一标识,对A的ID稍微做修改(稍微,就是从这串数字的第二位开始,每次只修改一位)。访问修改后的ID(假设为用户B的ID)所代表的用户首页。如:你要访问的用户A的ID是234164190,将第二位3改为4,修改后的用户B的首页地址是www.renren.com/244164190/profile.同理修改第345位。
(3) 重复(2)直到新得到的用户B的相册是可以访问的。
(4) 进入B的某个相册,地址栏现在的模式应该是:photo.renren.com/(ID)/album-(相册编号)别忘了你要偷看的是不对外开放相册的用户A的相册。现在将地址栏里B的ID改回A的ID。回车。
(5) 神奇的时刻来到了,页面上用户B的名字刷新成了用户A的名字。你还会发现右侧有几个用户A的相册超链接(没错,就是那几个小方块)。
(6)点击小方块,恭喜你打开了A的相册。你可以留言,不管你是否留言,因为你已经登陆了,所以A肯定会发现你访问过他的主页。
这里暴露了两个BUG:
(1) 相册访问没有权限验证的步骤,我觉得如果资源充足,完全可以写个程序暴力猜测相册编号。人人网貌似也没有反爬虫机制吧。
(2) 暴力破解?完全没必要,因为上面的hack过程说明了一个问题:相册的编号似乎跟用户ID有关系,要不然怎么两个相似ID对应同一个相册编号?初步猜测是由ID后两位(后一位?)作为因子生成的九位随机数。
本文纯属虚构,如有雷同纯属巧合。
add----------------------------------
人人网已更新,此漏洞已不存在。
分享到:
相关推荐
查看人人非好友相册,能够迅速的下载其相册资源
3.然后选择下载图片的命名方式,“图片默认名字”方式会按照人人网自动生成的图片名字来下载。“相册名字前缀”方式会以相册的名字为图片的前缀来下载图片。 3.完成前两步后点击“下载相册”就OK了,如果相片很多的...
人人网相册助手(RenRenAlbumAssistant)可以批量下载人人网的好友或者公共主页相册 基于开源项目-晴枫人人网下载器(witmax.cn),重写了爬虫分析代码和下载策略,增加了一些功能,解决了60张上限的问题。 软件需要.NET...
1.输入对方人人网(校内)id,点击[查看相册]按钮便可预览到相册列表; 2.选择要下载的相册,点击[开始下载]按钮便可下载图片到本地。 获取好友的id:在浏览器中登陆人人网,点击好友进入TA的主页,此时浏览器地址栏...
自己去年做的一个人人网相册采集器,输入帐号密码,设置好存储路径,就可按照 “帐号/好友名称/相册名称”的组织方式将该帐号所有的好友照片采集到本地。
可以一键下载人人好友的相册和日志,可视化界面。
人人极速相册是人人网官方最新推出的图片上传软件。可以不开网页、批量上传图片,还支持快速排序、全屏查看等诸多功能。上传图片更快、更多、更方便! 人人极速相册(人人网图片上传软件) v1.2 官方正式版更新内容:...
人人相册下载器 ============================ 不知道从什么时候起登陆人人的次数越来越少,但是上面还有很多我和我朋友的照片,这个软件就是帮助你下载人人上所有好友的照片 人人相册下载器能干什么? 下载人人网上...
羊羊人人相册批量下载,简单2步批量下载人人相册图片,简单释放双手!人人网相册批量下载软件主要功能:1:可以下载自己的相册2:下载好友的相册3:下载非好友的,公开相册4:
人人网相册批量下载
吾爱破解人人网相册批量下载工具是由吾爱破解论坛网友为人人网制作的一款相册批量下载软件。通过该软件,用户只需登录人人网账号,就可以批量解析并下载指定相册中的所有图片。而且支持多线程下载,帮助你轻松下载...
模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网模仿人人网...
已经过期了,http://download.csdn.net/source/1907553,这个是新的软件地址,12月15日更新
已经过期了,http://download.csdn.net/source/1907553,这个是新的软件地址,12月15日更新
《人人都会数据分析:从生活实例中学统计》从生活实例的角度描述统计学的基本知识,简单易学。有需则自行下载,一起学习。
人人网怎么快速添加好友.docx
python3.4写的一个自动下载人人好友相册的代码,输入人人账号密码可自行下载图片,默认路劲位E:\\picture2,需要先建立该目录
2009年12月15日更新 相册使用很简单,使用之前先看压缩包中的文档
人人网营销助手可以实现自动登录人人账号、自动为您寻找并添加好友,还可以根据对方性别,对方好友数,对方人气等限制,实现自动判断是否加其为好友,方便您根据市场定位选择有效好友。人人网营销助手其它功能:1 ...