В программе TSLab есть возможность настроить публичную трансляцию какой-либо вкладки программы в интернет. Трансляции публикуются на сайте http://www.comon.ru/tslab/ и представляют собой скриншоты выбранного окна, которые TSLab отсылает на сервер с заданной периодичностью.
Сам сервис http://www.comon.ru/tslab/ позволяет настроить доступ к просмотру трансляции по паролю. Предполагается, что пароль вы сообщаете избранным личностям, и только они смогут смотреть на ваши секретные графики.
Но, как оказалось на поверку, и к запароленным тслабовским трансляциям доступ открыт для всех.
Ради эксперимента зайдем на http://www.comon.ru/tslab/ и посмотрим список популярных трансляций.
Среди них найдем любую закрытую, например, я нашел с таким публичным ключом: 96E79218965EB72C92A549DD5A330112 .
Перейдем на трансляцию, и увидим суровый замок и предложение ввести пароль.
Но проблема в том, что паролится доступ к HTML страничке, на которой размещена картинка скриншота, доступ же к самой картинке никак не защищен.
Убедимся в этом, перейдя по следующему адресу:
http://tslab.comon.ru/translations/96E79218965EB72C92A549DD5A330112/1.jpg
Вуаля!, и перед нами картинка закрытой трансляции.
Уж не знаю, кто там что не доработал, но факт: надеяться на безопасность сервиса comon.ru/tslab/ не приходится. Не публикуйте то, чем не готовы делиться со всеми.
Для желающих автоматизировать мониторинг трансляций этот пост.
Дополнение к посту от 19 апреля 2016
После публикации уязвимости на http://forum.tslab.ru/ubb/ubbthreads.php?ubb=showflat&Number=77618
дырку закрыли.
Адреса картинок изменили. Картинки теперь доступны по адресам вида
http://tslab.comon.ru/image.ashx?id=96E79218965EB72C92A549DD5A330112
и в закрытых трансляциях без авторизации теперь замочек. Как и должно быть.
Буду благодарен, за оставленные комментарии.
at 07:51
Прикольно.
at 17:22
ну ты и придурок!
at 20:30
Лучший комплимент, который я слышил!
at 13:47
Верной дорогой идёте, товарищ)
Я тоже знаю кое-какие дыры в защите, которые позволяют мне получать бесплатные плюшки. И когда ты их получаешь, то думаешь - и как другие за такое фуфло платят такие деньги 🙂
at 16:57
Знаю еще несколько плюшек, которые позволяют экономить. Но это уже держу в тайне, дабы дырочки не прикрыли.