Analiza śladów korzystania z portalu społecznościowego nk.pl

Analiza śladów korzystania z
portalu społecznościowego nk.pl
Igor Nastarowicz
Mateusz Chmielewski
Wyższa Szkoła Policji w Szczytnie
Oprogramowanie użyte do badań
•
•
•
•
Wireshark
CacheView od NirSoft
WinHex do podglądu pamięci operacyjnej
Przeglądarka internetowa
Cel
• Celem działań było rozszyfrowanie adresów
URL, chcieliśmy dowiedzieć się co na ich
podstawie można wywnioskować
• Co użytkownik zrobił?
• Co zobaczył/wyświetlił na ekranie swojego
komputera?
• Czy można poznać treść wysyłanych przez
użytkownika wiadomości?
Zalogowany czy nie?
Przed zalogowaniem
• http://nk.pl
Po udanym zalogowaniu
• http://nk.pl/#main
Nieudana próba zalogowania
• https://nk.pl/login
Wiadomości
Podgląd skrzynki
• http://nk.pl/#poczta/inbox
Otwarcie wiadomości
• http://nk.pl/#poczta/XXXXXXXX
Numer wiadomości nadany przez system, w
przypadku odpisywania numer wiadomości
pozostaje ten sam.
Pisanie wiadomości do użytkownika X z poziomu
jego profilu (numer profilu)
• http://nk.pl/#poczta/compose/XXXXXX
Wszystkie działania związane z wysyłaniem i
odbieraniem wiadomości poprzedzone są stałym
dodatkiem #poczta, po którym występuje
oznaczenie konkretnego działania użytkownika.
Pisanie wiadomości
• /choose
• /compose
Obsługa skrzynki
• /trash
• /saved
• /outbox
Sniffer
POST http://nk.pl/#poczta/compose/XXXXX.
• mail_recipient_search_hidden=XXXXXX
• &mail_recipient_search_filter=test2+Kowalski
• &topic=TEMAT+TEST+123&content=TRESC+WIADOMOSCI+TEST+123
+ABC+123+TEST+ABC
• &target=http%3A%2F%2Fnk.pl%2Fprofile%2F1234567H
Podglądanie użytkowników
• http://nk.pl/#profile/XXXXX
Jeżeli korzystał z wyszukiwarki
• http://nk.pl/#profile/XXXXX?referer=sch_msp#
Próba podejrzenia profilu użytkownika nie będąc
zalogowanym
• https://nk.pl/main?target=%2Fprofile%2FXXXXX
Wyszukiwanie znajomych
Pierwszym wpisaniu w wyszukiwarce
• http://nk.pl/#szukaj?q=szukam+profilu+znajomego#
szukam profilu znajomego
Po zmianie szukanej frazy zmianie ulega drugi człon
URL
• http://nk.pl/#szukaj?q=szukam+profilu+znajomego#
szukam profilu znajomego ze szczytna
Galeria
• http://nk.pl/#profile/XXXXX/gallery#!q?album=2&photoviewer=[53036623,1]
• przeglądanie zdjęć za pomocą photoviewer,
• zawarty jest numer profilu którego zdjęcia
przeglądamy,
• oznaczenie która galeria jest przeglądana,
• znajduje się również stała wartość,
• ostatnia cyfra lub liczba, odpowiada za numerację
wszystkich zdjęć.
• http://photos.nasza-klasa.pl/53036623/4/thumb144/bd387f4e8d.jpeg
• za pomocą opcji pokaż zdjęcie/otwórz w nowym
oknie/pogląd zdjęcia/view image,
• w tym przypadku niewidoczny będzie numer profilu
posiadacza zdjęcia,
• numer przypisany do galerii,
• „licznik” zdjęć,
• nazwa zdjęcia nadana przez Naszą-Klasę,
• Thumb144 jest stałym dodatkiem, niezależnie od
profilu oraz ilości zdjęć.
• http://nk.pl/main_hit?b=6&u=12345678&target=http%3A%2F%
2Fnk.pl%2Fprofile%2F1234567%2Fgallery%2F3
• przeglądanie zdjęć dzięki informacji o ostatnio
dodanych zdjęciach przez znajomych
• znajduje się numer osoby która podgląda zdjęcia
oraz ta której zdjęcia są podglądane
• ostatnia cyfra/liczba odpowiada za „licznik” zdjęć,
tak samo jak w przypadku photoviewer.
• http://nk.pl/#profile/1234567/gallery/album/3/4
• ten URL jest bezpośrednim następstwem kliknięcia
poprzedniego URL
• następuje zmiana adresu
• numer profilu osoby podglądanej,
• numer odpowiadający za oznaczenie galerii
• „licznik” zdjęć.
Komentowanie profilu innej osoby
• http://nk.pl/profile/45616221/comments/add
• numer profilu który jest komentowany
• auto_form_ticket=5124cdf6e781fffd27cc7fb1&__ut
m_admin=%CE%9DO&content=KOMENTARZ+TESTO
WY+ABC+123&simple_button_submit
SNIFFING