Легальный Clickjacking ВКонтакте
Поговорим о виджете для авторизации.Нам говорят, что:
С помощью виджета для авторизации Вы можете максимально просто предоставить пользователям возможность авторизовываться на Вашем ресурсе.
Также, нам говорят, что: В результате авторизации виджет возвращает следующие поля: uid, first_name, last_name, photo, photo_rec, hash.
Рецепт:1. Создаем приложение.2. Добавляем виджет на наш сайт.3. С помощью js заставляем его следовать за курсором.4. С помощью css делаем его прозрачным.5. Пользователь делает клик на странице.6. ???7. PROFIT!
Для работы демо, вы должны быть авторизованы Вконтакте.
Демо
Я оставил полупрозрачность для лучшего понимания механики процесса. В реальной жизни значение opacity будет равно нулю.
Мне подумалось, что нехорошо данные о пользователях раздавать и я написал в службу поддержки.Ответил мне некто Агент поддержки #920:
Это не уязвимость. Да и что в этом страшного?
Такая вот недокументированная возможность…
