Niebezpiecznik

O usługach geolokalizacyjnych pisaliśmy juz w tekście “Proszę, obrabuj mnie“, zwracając uwagę na to, żę udostępniając światu informację gdzie teraz jesteśmy, udostępniamy także informację gdzie nas nie ma (w domu, z tą zarąbistą plazmą, którą chwaliliśmy się w publicznie dostępnym albumie na Facebooku).

Foursquare

Foursquare to jedna z usług geolokalizacyjnych — instalujemy aplikację na telefonie, ta na podstawie danych z GPS wyszukuje miejsca w pobliżu, do których możemy się wirtualnie “zameldować”. Jeśli gdzieś meldujesz się częściej niż inni, zostajesz gospodarzem (ang. mayor) i jeśli jest to np. restauracja, to możesz od jej szefa dostać sporą zniżkę.

A teraz porozmawiajmy o tym, jak w 9 liniach perla oszukać foursquare i zostać majorem dowolnego miejsca:

#!/usr/bin/perl -W
use IO::Socket;
srand;
sleep(rand()*600);
my $sock = IO::Socket::INET->new(PeerAddr=>'api.foursquare.com', PeerPort=>80, 
                                 Proto =>'tcp', Type=>SOCK_STREAM) or die;
$ARGV[1] += rand() * 0.0001 - 0.00005;
$ARGV[2] += rand() * 0.0001 - 0.00005;
my $str = "vid=$ARGV[0]&private=0&geolat=$ARGV[1]&geolong=$ARGV[2]";
print $sock "POST /v1/checkin HTTP/1.1\r\nHost: api.foursquare.com\r\nUser-Agent:"
            ." Mozilla/5.0 (iPhone; U; CPU like Mac OS X; en) AppleWebKit/420+ "
            ."(KHTML, like Gecko) Version/3.0 Mobile/1C10 Safari/419.3\r\nContent"
            ."-Type: application/x-www-form-urlencoded\r\nAuthorization: Basic "
            ."XXXXXX\r\nContent-length: ", length($str)+2, "\r\n\r\n$str\r\n";
$_=<$sock>; 

Oczywiście XXXXX podmieniamy na wynik funkcji base64(“email:password”), a sam skrypt wywołujemy z 3 parametrami:

• id miejsca do którego chcemy się zameldować (bierzemy je z foursquare, np. “Impreza pod Krzyżem przed Pałacem Prezydenckim” ma ID o wartości 7002890)
  
  

• długością oraz szerokością geograficzną w jego okolicy (bierzemy z google maps)
  
  

Teraz wystarczy odpalić to w pętli (albo cronie), i czekać na koronę “mayora”. Skrypt wprowadza losowe odchylenia od podanej pozycji oraz losowe opóźnienia (w granicy 10 min.) aby “uwiarygodnić” meldunki :>

Kto zauważył że…

Logowanie do usług geolokalizacyjnych takich jak Foursquare czy Gowalla przesyła wasze dane (e-mail i hasło) plaintekstem? Wprowadzony niedawno Facebook Places (który nie jest jeszcze dostępny w Polsce) jako jedyny uwierzytelnia użytkownika via SSL…

Darmowe Alibi?

Ciekawym wątkiem spoofowania meldunków w usługach geolokalizacyjnych jest możliwość zapewnienia sobie szybkiego i darmowego alibi :-) Wysoki sądzie, to nie ja wyniosłem bazę z Filmwebu, ja tego dnia byłem w Kutnie!

P.S. Trzymajcie się z dala od rynku w Krakowie, nie psujcie nam zabawy ;P

Przeczytaj także:

• Proszę, obrabuj mnie!
• * Jak “wykraść” lokalizację internauty?
• Gdzie jesteś? Lokalizacja internautów przez przeglądarkę