Итак есть у нас 1 такое интересное свойство как secret:
secret – Секрет, необходимый для осуществления подписи запросов к API
и так же знаю то что secret получается через flashVars / GET запрос
Теперь вопрос-кто поможет разобраться что это вообще такое, и как его узнать для того или иного приложения
Добавлено через 10 часов 19 минут
так разобрался немного, но все же....гет запрос с параметром fv передается на сервер в котором скрыт secret,как его можно оттуда выкурить?
либо как вариант декомпиллить приложение-но не все можно декомпиллить-тоже проблема
zuzzz
17.05.2011, 14:07
В приложении вк есть два ключа секрета.
Один серверный (типа 5285fс049b43b3428а7f042cf7acfbb5), нужен для проверки аутентификации пользователя и для обращений к api вконтакта с сервера. Добыть его почти не возможно, только если ломанешь сервак.
Второй (типа с568b3d913) это ключ клиентской части, нужен для обращений к api вконтакта. Во 2 версии api этот ключ был один для всех, и обычно "зашивался" в приложение. В 3й версии api ключ этот приходит GET параметром в первом запросе, и связан с параметром sid. В 3й версии секрет каждый раз разный.
Hermein
17.05.2011, 16:01
В приложении вк есть два ключа секрета.
Один серверный (типа 5285fс049b43b3428а7f042cf7acfbb5), нужен для проверки аутентификации пользователя и для обращений к api вконтакта с сервера. Добыть его почти не возможно, только если ломанешь сервак.
Второй (типа с568b3d913) это ключ клиентской части, нужен для обращений к api вконтакта. Во 2 версии api этот ключ был один для всех, и обычно "зашивался" в приложение. В 3й версии api ключ этот приходит GET параметром в первом запросе, и связан с параметром sid. В 3й версии секрет каждый раз разный.
Я уже прочитал это все и относительно разобрался гет запрос с fv идет в нем вшит сикрет кей, и не в 1 ни во 2 ни в 3 версиях ни разные ключи,
он 1, так же как и защищенный ключ!!!
А то что в ответе приходит как ты написал-это совсем не то, это другой абсолютно параметр
zuzzz
17.05.2011, 19:02
Почему ты так уверен? У тебя приложение своё есть? Ты посылал запросы к api исползуя 3ю версию протокола? Для 2й версии сейчас уже не узнать секретный ключ, его просто ни где не пишут и приходится использовать 3ю версию.
Я тебе утверждаю, что секрет клиентской части меняется. Я вот на днях пытался это делать....
Но большинство приложений до сихпор использует 2 версию, и ключ можно выташить из флеша.
Hermein
18.05.2011, 15:17
Почему ты так уверен? У тебя приложение своё есть? Ты посылал запросы к api исползуя 3ю версию протокола? Для 2й версии сейчас уже не узнать секретный ключ, его просто ни где не пишут и приходится использовать 3ю версию.
Я тебе утверждаю, что секрет клиентской части меняется. Я вот на днях пытался это делать....
Но большинство приложений до сихпор использует 2 версию, и ключ можно выташить из флеша.
Короче все, тема закрыта, я научился доставать и не зависит какая версия хоть 2.0, хоть 3.0-сикрет всегда 1 а секрет-это не то-это специально сгенерированный ключ, который меняется
о чем ты говоришь
ТЫц ([Ссылки могут видеть только зарегистрированные и активированные пользователи] %D1%86%D0%B8%D1%8F+Desktop-%D0%BF%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D 0%B8%D0%B9)
вот тема, а сикрет всегда 1 для любой версии api и идет он с гетом в fv - откуда его можно достать(правда очень непросто)
zuzzz
19.05.2011, 07:58
это авторизация Desktop-приложений, а я говорил про взаимодействие iframе и flash приложений с api. [Ссылки могут видеть только зарегистрированные и активированные пользователи] %D0%B9%D1%81%D1%82%D0%B2%D0%B8%D0%B5+%D0%BF%D1%80% D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D1%8F+%D 1%81+API
Ты же спросил про "secret – Секрет, необходимый для осуществления подписи запросов к API" и не спрашивал про аутентификацию.
Hermein
19.05.2011, 10:29
это авторизация Desktop-приложений, а я говорил про взаимодействие iframе и flash приложений с api. [Ссылки могут видеть только зарегистрированные и активированные пользователи] %D0%B9%D1%81%D1%82%D0%B2%D0%B8%D0%B5+%D0%BF%D1%80% D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D1%8F+%D 1%81+API
Ты же спросил про "secret – Секрет, необходимый для осуществления подписи запросов к API" и не спрашивал про аутентификацию.
там secret и api_secret для подсчета сиг-а, а он всегда 1, а не то что можно посмотреть и что постоянно меняется
zuzzz
19.05.2011, 11:25
Да, для вычислния sig.
Ну не знаю по чему ты так у верен, что этот секрет не меняется. Проверь сам.
Открой да раза одно и тоже приложение и с помощью анализатора пакетов, увидишь что секрет меняется. Я это утверждаю не просто так, а потому что мне пришлось переписывать своё новое приложение под api 3, т.к. по другому у меня не работало. Старые приложения до сих пор работают со статическим секретом.
Тема действительно исчерпала себя. Я рад что у тебя все получилось. Но в следующий раз формулируй вопрос четче. А то мы о разных вещах говорили.
Hermein
19.05.2011, 20:07
Да, для вычислния sig.
Ну не знаю по чему ты так у верен, что этот секрет не меняется. Проверь сам.
Открой да раза одно и тоже приложение и с помощью анализатора пакетов, увидишь что секрет меняется. Я это утверждаю не просто так, а потому что мне пришлось переписывать своё новое приложение под api 3, т.к. по другому у меня не работало. Старые приложения до сих пор работают со статическим секретом.
Тема действительно исчерпала себя. Я рад что у тебя все получилось. Но в следующий раз формулируй вопрос четче. А то мы о разных вещах говорили.
Потому что лично проверял-в чарлике смотрел сиг и потом его высчитывл своим приложением и убедился что сикрет никогда не меняется, ибо md5 1 и тот же только при условии 1 и того же сикрета!