WhattsApp Web???

Jesus Guibert

unread,

Jan 23, 2015, 10:10:21 AM1/23/15

to comunida...@googlegroups.com

Websockets encriptando el trafico en la capa de transporte con TLS...

Va código fuente de la app descargada del navegador Web...

Hay que depurar en modo kernel algún android y ver que hace la app...

app_74008cbc2e943f31e5bb7fc26589f96f.js

Nicolas Zuasti

unread,

Jan 23, 2015, 10:12:05 AM1/23/15

to comunida...@googlegroups.com

Che pero sin la contra parte.... tenes mucho lugar abierto a la imaginación

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

--
Has recibido este mensaje porque estás suscrito al grupo "Tecnicos" de Grupos de Google.
Para anular la suscripción a este grupo y dejar de recibir sus mensajes, envía un correo electrónico a comunidadtecni...@googlegroups.com.
Para acceder a más opciones, visita https://groups.google.com/d/optout.

Jesus Guibert

unread,

Jan 23, 2015, 10:33:54 AM1/23/15

to comunida...@googlegroups.com

Llegando a depurar justo antes de encriptar la información en la aplicación cliente... La autentificación a la versión Web va por la lectura de un QR desde el cliente... por un WebSocket... luego de la autentificacion se mantiene establecida la comunicacion del socket Browser <-> SocketServer
Phone <-> SocketServer

Imágenes integradas 1

No puedo hacer mucha cosa porque tengo un Win Phone, cuando llegue a casa pruebo con un Android, me conecto por ssh y veo que se puede saber antes de entrar a tocar algo

Jesus Guibert

unread,

Jan 23, 2015, 11:15:03 AM1/23/15

to comunida...@googlegroups.com

Haber continuamos un poco mas...

Si nosotros nos logueamos por web, se mantiene una sesión, que pasa si matamos el proceso del navegador? , fácil al querer entrar nuevamente no hay necesidad de volver a ingresar puesto que al momento de realizar un login exitoso se guardan localmente(LocalStorage) unos archivos utilizados para la misma...

Al monitorear Chrome podemos ver perfectamente donde están los archivo:

Ahi podemos ver que pasa si creamos un perfil nuevo de chrome y solamente nos quedamos con esos directorios?

Pues nada... al querer volver a ingresar a https://web.whatsapp.com/ esos archivos son los que se van a consultar... y

al ser validos perfectamente podemos ingresar desde otra computadora. No precisamos loguearnos solo esos archivos....

Perfectamente una pequeña porción de codigo de un malware podria capturarnos los archivos y enviarla hacia algún lado...

Pero que pasa si... iniciamos en la PC1, luego vamos a la PC2 con los archivos y queremos ingresar:

Chachan!!! se mantiene un registro del browser(dirección IP de la LAN y la thread en caso de ser en otra pestaña) que tiene "abierta" la web, nada mal... que pasa si PC1 cierra el browser, y PC2 quiere ingresar con los mismos archivos que ingreso PC1?

Pues lo toma como valido ya que solo valida el "token" que tengan esos archivo... ni IP,ni nada....

Resumiendo, full access!

Después seguiremos explorando un cachito mas

Nicolas Zuasti

unread,

Jan 23, 2015, 11:19:22 AM1/23/15

to comunida...@googlegroups.com

No tiene una hash que varie en un determinado tiempo? Que mal esquema de seguridad....

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

Jesus Guibert

unread,

Jan 23, 2015, 11:25:48 AM1/23/15

to comunida...@googlegroups.com

No Nico, nada. Incluso en un equipo salia detrás de un proxy, osea en el request que le llega al Web Server en el header va incluso cuando va detrás de un proxy, y un sin fin de data mas...

Nicolas Zuasti

unread,

Jan 23, 2015, 11:28:07 AM1/23/15

to comunida...@googlegroups.com

Jua... no ... no termino de entender como una app tan usada ni siquiera mete una cookie encriptada chota con un hash con la ip y la fecha (1 linea de codigo).... ya con eso no tienen como "moverte la session" a otro pc (digamos.... a china)

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

Jesus Guibert

unread,

Jan 23, 2015, 11:47:50 AM1/23/15

to comunida...@googlegroups.com

Impresionante, ni que hablar de la BD(SQlite) que almacena..

:

Nicolas Zuasti

unread,

Jan 23, 2015, 11:50:45 AM1/23/15

to comunida...@googlegroups.com

Y despues dicen que los hackers son "cra"... si ni siquiera tenes que tratar de romper eso... le pedis el dato y te lo da.... en bandeja con cafe y biscochitos.

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

gastón oberti

unread,

Jan 23, 2015, 11:53:43 AM1/23/15

to comunida...@googlegroups.com

No han pensado que cumple perfectamente con los requerimientos de diseño? Quizá no es una falla técnica, ni una falta de seguridad.... it's not a bug, it's a feature!

Nicolas Zuasti

unread,

Jan 23, 2015, 11:57:58 AM1/23/15

to comunida...@googlegroups.com

Desde cualquier punto de vista permitir a un agente externo llevarse tu sessión de paseo es un bug :P. Por mas comodo que sea para llevarte la session a la tablet antes de acostarte

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

gastón oberti

unread,

Jan 23, 2015, 1:09:42 PM1/23/15

to comunida...@googlegroups.com

Definitivamente no, no estamos pensando lo mismo. Si mi trabajo es espiar las conversaciones de usuarios de una mensajería masiva.. no sería mas fácil si esta no es del todo segura? No es esto lo que la CIA and demais hacían con Facebook, twitter, etc?

Nicolas Zuasti

unread,

Jan 23, 2015, 1:11:37 PM1/23/15

to comunida...@googlegroups.com

whatsapp es de fb ahora no?... igual si quieren hacer eso, simplemente redirigen una copia del trafico via backend y nadie se entera, todos felices en su ignorancia.

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

Jesus Guibert

unread,

Jan 23, 2015, 1:15:06 PM1/23/15

to comunida...@googlegroups.com

La seguridad no existe en la informática. Habría que rediseñar todo de vuelta... Podemos hacer las cosas un poco mas complicadas, pero siempre va haber un pelotudo que le encuentre la vuelta.

Jesus Guibert

unread,

Jan 23, 2015, 1:21:50 PM1/23/15

to comunida...@googlegroups.com

Se imaginan en los fines de los 80 y los 90, cuando se despego el furor de la red de redes, no eran mas que unos put*** request de texto plano.

plano plano, como para no, esa era hacker, donde el principal laburo era saber programar bien algún lenguaje de procesamiento de texto como PERL. y largar un bot a recolectar información.

Ni que hablar de los ataques de hoy en día, por ejemplo los que anuncia Anonymous, los clásicos Denegación de Servicios. Saturar un servicio para que colapse o trabaje a los ponchasos.... tal cual como lo hace un switch al desbordarse y funcionar como hub...

gastón oberti

unread,

Jan 24, 2015, 2:37:45 PM1/24/15

to comunida...@googlegroups.com

Hackers? hacker era un amigo que por respeto no lo voy a nombrar, pero se subía al techo, pasaba a la casa del vecino y le pinchaba el cable del teléfono pa conectarse al 09091234 de noche sin pagar un sope... eso era un hacker!

gastón oberti

unread,

Jan 24, 2015, 2:40:26 PM1/24/15

to comunida...@googlegroups.com

Léanse esto sobre whatsapp. Es de un periodista español que leo seguido.

http://www.javipas.com/2015/01/23/whatsapp-web-cagada

Jesús Guibert

unread,

Jan 25, 2015, 10:07:16 AM1/25/15

to comunida...@googlegroups.com

Bue mas facil que obtener el codigo fuente del cliente android con un decompiler...

Nicolas Zuasti

unread,

Jan 26, 2015, 6:44:43 AM1/26/15

to comunida...@googlegroups.com

Lo que falta es que tengan harcodeada en código la clave de la encriptación de la password... ahi te haces la panzada...

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

Jesus Guibert

unread,

Jan 26, 2015, 6:48:54 AM1/26/15

to comunida...@googlegroups.com

no lo mire mucho al código, lo poco que vi hasta los comentarios deambulaban por ahí...

Nicolas Zuasti

unread,

Jan 26, 2015, 6:50:07 AM1/26/15

to comunida...@googlegroups.com

eso vi en lo que pasaste :P. Se ve que compilaron pura la version de desarrollo nomas...

Seran uruguayos los que desarrollan para whatsapp? :P

A.P. Nicolás Zuasti
@zonical.net/cv

Imaginatio

Reply all

Reply to author

Forward