#tinder #tutorial Jak zobaczyć odblurowane zdjęcia osób, które polajkowały nasz profil

TL;DR

pokaż spoiler GET /v2/fast-match/teasers HTTP/1.1
Host: api.gotinder.com
x-auth-token: <YOUR-X-AUTH-TOKEN>


Na końcu poradnik dla nietechnicznych mirków.

Jako że ostatnio samotność weszła mocno, to postanowiłem zainstalować (drugi raz w życiu) tindera. Z mojej pierwszym wizyty na tym wspaniałem portalu pamiętam, że dało się łatwo podglądać odblurowane zdjęcia osób, które ostatnio polajkowały nasz profil.

Podglądanie zdjęć użytkowników było możliwe dzięki temu, że tinder przesyłał na nasze urządzenia oryginalne obrazki, a blurował je dopiero po stronie frontu. Oznaczało to tyle, że w każdym momencie mieliśmy na swoim komputerze oryginalne obrazki i wystarczyło tylko po nie sięgnąć swoimi łapkami - czy to odblurowując zdjęcia z poziomu devtoolsów, przeglądając zasoby aplikacji czy chociażby poglądając zwracane z webowego API URI obrazków.

Podczas mojej drugiej wizyty, zauważyłem że zespół tindera naprawił opisaną wyżej podatność i teraz zwraca nam adresy do już wyblurowanych zdjęć. Oznacza to, że nie jesteśmy już w stanie w łatwy sposób podejrzeć oryginalnych obrazków, ponieważ tinder zwyczajnie w świecie nam ich nie serwuje.

Jak na prawdziwego #programista15k przystało, zamiast skupić się na poszukiwaniach swojej drugiej połówki, postanowiłem zrobić prosty reverse-engineering ichniejszego API i sprawdzić, czy da się jakoś łatwo uzyskać oryginalne zdjęcia manipulując odrobinę parametrami zapytania/nagłówkami HTTP. Przeglądając zwrotkę jaką tinder przesyła w odpowiedzi na żądanie uzyskania zajawek ostatnio polajkowanych przez nas osób, zauważyłem że znajduje się tam parametr “pre[podloga]blur” o wartości true. Uznałem, że skoro tinder coś takiego zwraca, to pewnie istnieje możliwość wymuszenia jakimś wejściowym parametrem/nagłówkiem ustawienia tego pierwszego parametru na wartość false i tym samym uzyskanie adresów do oryginalnych obrazków. Po kilku próbach szybko okazało się, że nagłówek “platform” odpowiada za ustawianie wartości parametru “pre[podloga]blur”. Korzystając z aplikacji webowej, front tindera, automatycznie wykonując request po zajawki, ustawia ów nagłówek na wartość “web” i tym samym API tindera zwraca nam zblurowane zdjęcia. Okazuje się jednak, że wystarczy owy nagłówek pominąć i API zaczyna nam serwować adresy do oryginalnych obrazków.

Po odkryciu opisanej wyżej podatności, postanowiłem napisać do zespołu tindera w ramach programu bug bounty. Stwierdziłem, że skoro naprawili pierwszą podatność, to pewnie będzie im zależało na naprawieniu kolejnej, która już w nie aż tak trywialny sposób jak ta pierwsza, pozwala na podglądanie zdjęć lajkujących nas osób. Wyskrobałem zatem szybkiego maila z opisem podatności, podałem im też kilka prostych przykładów jak można ów problem rozwiązać (oczywiście nie znam architektury ich systemu, więc to były tylko jakieś proste sugestie, a nie żadne rocket science). Oczekując na odpowiedź, w myślach miałem już wizję, że pewnie zaproponują mi ciepłą posadę w dolinie krzemowej, a teraz już tylko myślą jak należycie mnie przywitać #pdk Na następny dzień dostałem odpowiedź, że wiedzą już od jakiegoś czasu o podatności i nie zamierzają na razie nic z nią robić. Postanowiłem zatem podzielić się tym ficzerem tutaj z Wami.

No, to chyba na tyle. Poniżej poradnik dla nietechnicznych mirków.

Zaczynamy od pobrania i zainstalowania programu Postman. Jest to tzw. klient HTTP, który pozwala na wykonywanie zapytań HTTP. Po otworzeniu programu, w pasku adresu na samej górze wprowadzamy adres https://api.gotinder.com/v2/fast-match/teasers Jest to ścieżka do zasobu tindera, który serwuje nam zajawki osób, które polajkowały ostatnio nasz profil. Do wykonania żądania potrzebna nam jest już tylko wartość nagłówka HTTP o nazwie x-auth-token. Jak zdobyć ów wartość i czym ona właściwie jest? Przechodzimy na stronę tindera i logujemy się na swoje konto. Jeśli korzystamy z chroma, to otwieramy narzędzia deweloperskie, następnie w zakładkach u góry przechodzimy pod Application, później wybieramy Storage, Local Storage, https://tinder.com i szukamy w tabelce wartości klucza TinderWeb/APIToken - to to. I teraz uwaga, bardzo ważna kwestia. Pod żadnym pozorem, absolutnie nigdy, przenigdy, nie należy komukolwiek udostępniać owej wartości. Jest to tzw. identyfikator sesji, który poświadcza, że my to my tj. tinder na podstawie wartości tego klucza wie, że Jan Kowalski jest zalogowanym użytkownikiem Janem Kowalskim w aplikacji tinder. To tak w mega dużym uproszczeniu. Ten klucz jest oczywiście tymczasowy, co oznacza że nie jest ważny cały czas, ale co jakiś interwał generowany jest nowy klucz sesyjny i w każdym momencie aktywny jest maksymalnie jeden taki klucz - to tak na wypadek, gdyby ktoś wszedł w posiadanie tego klucza i chciał go wykorzystać przeciwko nam, aby się pod nas podszyć - uda mu się to, ale bez innego klucza (tzw. refresh tokenu), nie będzie on w stanie zregenerować starej wartości klucza pierwszego. Dla nas oznacza to fakt, że jeśli chcemy przeglądać obrazki, to musimy za każdym razem skopiować nową wartość klucza. Wracając do programu Postman. Kiedy już mamy ów wartość, przechodzimy pod zakładkę Headers i w nowym wierszu wklejamy parę klucz-wartość: x-auth-token-TO-CO-SKOPIOWALISMY. Następnie klikamy send i w ciele odpowiedzi powinniśmy dostać obrazki zaszyte w formacie JSON. Ów format jest ultra prosty, więc nie będę się już tutaj rozpisywał jak odczytać z niego dane - google z pewnością pomoże.

#tinder #randkujzwykopem #programowanie #programista15k #testowanieoprogramowania pokaż całość

kolejny typo miesza polityke z kodzeniem, wszystkie komentarze typu "po co to" lub "#alllivesmatter" są kasowane, a autorzy banowani ( ͡° ʖ̯ ͡°) #programowanie #bekazlewactwa #konfederacja

źródło: i.imgur.com

Widzieli już? ( ͡º ͜ʖ͡º) Jak one się zawsze chętnie pchają na czarne kokambo-kokolobo, nawet pod pretekstem humanitaryzmu

#mtgow #relacje #tinder #badoo #heheszki #blackpill #p0lka

źródło: 1591435896845.jpg

No elo #dziendobry mireczki, dzisiaj ze Skytower, a wy jak tam? ( ͡° ͜ʖ ͡°)

#wroclaw #pokazrozowegopaska #plodnajulka

źródło: IMG_20200606_090119.jpg

reporterka CNN placze po przestępcy, aktorze porno i narkomanie, Idiokracja #usa

źródło: z.png

Gwoli wyjaśnienia niektórym wykopkom robiącym fikołki salto mortadela.

#usa #rasizm

źródło: 1591388351437.jpg

#neuropa #bekazprawakow #wykop #usa #protesty #rasizm

W takich chwilach widać, że wykop to dalej siedlisko mentalnej sebiksowni. Mirko i główna zapchane rasistowskimi wysrywami sfrustrowanych spermiarzy. Widocznie pokolenie kucy musi wymrzeć, żeby coś ruszyło.

źródło: images.livemint.com

Pytanie do prawaków - taki ktoś jak na zdjęciu chce zebyście uklekli, co robicie?
#usa #protesty #blacklivesmatter #bekazprawakow

źródło: 1591363451309.jpg

◢ #unknownews ◣

W tym tygodniu przygotowanie zestawienia było niełatwym zadaniem, a to ze względu na sprawę tego, co dzieje się w USA. Wszystkie serwisy newsowe rozpisują się tylko o jednym temacie. Wszelkie raporty i opracowania także są związane tylko z tym zagadnieniem. Niemniej, udało mi się wybrać aż 29 neutralnych, ale i bardzo ciekawych linków, które wierzę, że Cię zainteresują. Zapraszam do czytania.

1) Prawdziwe, życiowe przykłady użycia technologii webowych (frontend+backend) na przykładzie pisania tej samej aplikacji
https://github.com/gothinkster/realworld
INFO: twórcy stworzyli klona serwisu 'Medium', ale w... 28 wersjach frontendu (Angular, React, Vue, NextJS itp) i 41 wersjach backendu (node, ruby, php, GO, ASP.NET, Java itp). Warto zobaczyć jak wygląda pisanie tej samej aplikacji w różnych technologiach.

2) Chcesz się nauczyć języka Ruby? poświęć na to 6 godzin i podstawy masz zaliczone (filmy)
https://dev.to/thecodepixi/a-ruby-on-rails-roadmap-34i4
INFO: podstawy Ruby (4h) + podstawy Railsów (1h) + pierwszy projekt oparty na RoR (tworzenie API - 1h)

3) Edytor animacji CSS - wyklikaj sobie (z użyciem tzw. keyframes), co ma się stać z obiektem
https://keyframes.app/animate/
INFO: bardzo prosty interface. Gdy skończysz animować przykładowego ducha, po prostu kliknij na "Get CSS" i podepnij animację do dowolnego obiektu na swojej stronie.

4) Dobre rady dla Opsów i Devopsów - poznane dzięki licznym wpadkom ;)
https://www.netmeister.org/blog/ops-lessons.html
INFO: każda z rad, to dosłownie jedno zdanie (czasami z referencjami do artykułu), ale i tak niektóre dają do myślenia

5) Lepszy sposób notowania? Używaj 'Zettelkasten' zamiast zwykłych notatek
https://eugeneyan.com/2020/04/05/note-taking-zettelkasten/
INFO: artykuł przedstawia o co chodzi w tej koncepcji. W rozdziale "How to implement (...)" są linki do aplikacji realizujących tą koncepcję

6) Edytor online do tworzenia flowchartów, wireframe, map myśli itp - bardzo przyjemny w użyciu i intuicyjny
https://whimsical.com/
INFO: darmowa wersja umożliwia posiadanie 4 otwartych projektów. Do większości prywatnych zastosowań powinno to wystarczyć.

7) Darmowy zamiennik Google Maps do osadzania na stronach - waży zaledwie 38kb
https://leafletjs.com
INFO: skrajnie proste w implementacji, a do tego obsługuje wszystko to, co przeciętny twórca stron potrzebuje

8) Userbase, czyli dodaj obsługę użytkowników (logowanie, rejestracja itp) do Twojej statycznej strony internetowej
https://userbase.com
INFO: nie potrzebujesz backendu, a za darmo założyć jedną bazę dla 3 userów. Jeśli użyjesz wersji selfhosted, za nic nie musisz płacić (100% open source)

9) Nowoczesny Python - jak się do niego zabrać?
https://cjolowicz.github.io/posts/hypermodern-python-01-setup/
INFO: przez lata królował Python 2. Później 2+3, a teraz została nam sama trójka. Jak dostosować swoje środowisko do nowoczesnego Pythona?

10) Generator QR kodów do sieci WiFi - przydatne w miejscach publicznych
https://wifi.dev.bdw.to
INFO: chcesz udostępnić WiFi w pubie/bibliotece/firmie dla klientów? Wygeneruj kod, wydrukuj go i gotowe. Każdy, kto go zeskanuje (zwyczajnie - aparatem) połączy się do sieci i automatycznie wpisze hasło dostępowe.

11) Algorytmy i struktury danych zaimplementowane w JavaScript
https://github.com/trekhleb/javascript-algorithms/blob/master/README.pl-PL.md
INFO: oznaczenia są trochę mylące, bo 'A' to poziom zaawansowany, a 'B' początkujący. W podlinkowanych repozytoriach są kody źródłowe z implementacją, a readme jedynie tłumaczy, co to jest.

12) Masz konto na Twitterze? publikuję tam wiele linków, które ostatecznie nie dostały się do tego zestawienia
https://twitter.com/uwteam
INFO: Te same linki możesz też czytać obserwując mój profil na Linkedin https://www.linkedin.com/in/unknow/

13) Fake-S3, czyli postaw sobie własną, testową instancję AWS S3 w firmie - dobre do testów
https://github.com/jubos/fake-s3
INFO: po co wysyłać pliki i robić wolne requesty do Amazona, gdy można wszystko testować lokalnie. Licencja dla indywidualnych programistów i firm do 9 pracowników jest darmowa.

14) Statyczne strony internetowe są szybkie, ale... który statyczny hosting jest najszybszy?
https://www.savjee.be/2020/05/benchmarking-static-website-hosting-providers/
INFO: porównanie AWS S3, AWS CloudFront, Google Cloud Storage, Cloudflare Workers, Firebase, Netlify i GitHub Pages

15) Picular - takie Google, ale dla kolorów ;)
https://picular.co
INFO: wpisujesz słowo (np. winter, christmass, sky itp), a wyszukiwarka podpowie Ci kilka/kilkanaście kolorów, które pasują do tego słowa. Użyteczne dla designerów

16) Jak uruchomić OSX (system operacyjny znany z Maca) w dockerze z użyciem KVM?
https://github.com/sickcodes/Docker-OSX
INFO: przy standardowej konfiguracji Twojego komputera, cała operacja powinna sprowadzić się do jednego polecenia

17) Jak uniknąć nachodzenia tasków crona na siebie w sytuacji, w której nie możemy zmienić kodu samej aplikacji?
https://ma.ttias.be/prevent-cronjobs-from-overlapping-in-linux/
INFO: Twój program uruchamia się co minutę, ale zdarza mu się działać ponad minutę? W takim przypadku będą uruchomione dwie instancje programu.

18) Na czym zarabia wyszukiwarka DuckDuckGo? Jaki jest jej model biznesowy?
https://spreadprivacy.com/duckduckgo-revenue-model/
INFO: większość wyszukiwarek śledzi swoich użytkowników. Jak zarobić, bez narażania ich prywatności?

19) Malutka biblioteka (~3kb) JavaScript dodająca animowane, 'ręcznie robione' adnotacje do tekstów
https://roughnotation.com
INFO: zobacz każde demo wyświetlane po kliknięciu na 'Annotate'

20) Jak działa przycisk "Unsubscribe" w Gmailu? Skąd gmail wie, jak nas wypisać z newslettera?
https://blog.leavemealone.app/how-does-the-gmail-unsubscribe-button-work/
INFO: ciekawa analiza. Okazuje się, że narzędzie od Google zagląda w aż trzy miejsca, aby Cię wypisać

21) Interaktywny quiz z JavaScript - część pierwsza (pod artykułem jest link do części drugiej)
https://dev.to/lydiahallie/interactive-javascript-quiz-1-1flc
INFO: w każdym pytaniu decydujesz, jaki output zwróci podany w przykładzie kod. Pod zadaniami są bardzo dokładne wyjaśnienia skąd wziął się taki wynik. Pod artykułem znajdziesz linka do kolejnej części

22) Podstawy typografii w CSS, czyli jak upiększyć swój tekst na stronie
https://medium.com/cssclass-com/css-basics-for-typography-160025e3aeca
INFO: spis podstawowych operacji, jakie możemy wykonać na tekście. Wszystko przedstawione na obrazkach w celu lepszego zrozumienia.

23) Stwórz personalną Wiki do trzymania własnych projektów i bazy wiedzy, ale... w VIMie
https://github.com/vimwiki/vimwiki
INFO: gotowy do użycia (i prosty w instalacji) plugin do vima. Ładnie formatuje wszystko, tworzy odsyłacze wewnętrzne/zewnętrzne itp.

== LINKI TYLKO DLA PATRONÓW ==

24) Pełen wideo kurs kubernetes, dostępny zupełnie za darmo (trwa 2h)
https://uw7.org/un_5eda009ebafeb
INFO: już połowa za mną i muszę przyznać, że gość tłumaczy to super zrozumiale. Aż dziwne, że tak uporządkowana wiedza dostępna jest bez opłat

25) Zbuduj własne [...tu wstaw serwis/usługę...] - lista poradników i tutoriali
https://uw7.org/un_5eda0098ea5c6
INFO: wybierasz, co chcesz zbudować w ramach nauki (np. 'web server') i czytasz jak to zrobić w zależności od wybranej technologii

26) Wszystko, co programista powinien wiedzieć o marketingu aplikacji/produktu
https://uw7.org/un_5eda00933ce1f
INFO: jak zdobywać użytkowników? jak się reklamować bez budżetu? jak ogarnąć listy mailowe itp.

27) Zamienniki Open-source dla komercyjnych aplikacji
https://uw7.org/un_5eda008db9a4f
INFO: możemy sortować listę według kategorii, licencji jak i języka programowania w którym zostały napisane

28) Dobre praktyki stosowane przez duże firmy - praca zdalna, schematy rozwoju w firmie, podręczniki dla pracowników itp
https://uw7.org/un_5eda0087f1237
INFO: warto rzucić okiem, zwłaszcza jeśli masz bezpośredni wpływ na to, jak pracuje Twoja firma lub team (albo podrzuć to swojemu szefowi)

29) Inspiracje dla twórców produktów SaaS - treści maili, landing page, interfejsy, wzory wpisów na bloga itp
https://uw7.org/un_5eda008244a2c
INFO: zobacz, jak to robią inne firmy, które odniosły sukces

==
Chcesz, aby Twój link pojawił się tutaj?
Po prostu mi go zgłoś. To zupełnie NIC nie kosztuje - dodaję jednak tylko to, co mi przypadnie do gustu.
https://mrugalski.pl/suggest.html

Podobało się? To daj plusika :)

************

[Obserwuj mnie na FB] - [Chcesz być wołany?] - [Zostań patronem] - [Wersja RSS] - [Subskrybuj przez email] - [Grupa na Telegramie]

tagi: #technologia #python #javascript #frontend #design #internet #devops #docker #ciekawostki #programowanie pokaż całość

źródło: IMG_CCA9224C7381-1.jpeg

Chcecie dawki lewackiej tolerancji? Na tym lewicowym forum ktoś wyczaił na insta wpis młodej dziewczyny, która śmiała napisać, że Floyd nie był bez winny i był złapany na gorącym uczynku i nie było by problemów, gdyby ludzie przestrzegali prawa. Niestety w dzisiejszych czasach nie można mieć odmiennych i tak kontrowersyjnych opinii dlatego szybko złożono donos na jej uniwerek i ją wyrąbano ze szkoły xDD Tak ,czas się przyzwyczaić do życia w świecie gdzie można ci zniszczyć życie jeśli jesteś biały i nie spodoba się komuś twoja opinia. Wklejam jeden z tolerancyjnych komentarzy z tego forum: "this is good. hopefully this ruins her life" xDD i link do forum https://www.resetera.com/threads/racist-teenager-loses-scholarship-yes-another-one.219027/
#usa #bekazlewactwa pokaż całość

. . . kliknij, aby rozwinąć obrazek . . .

źródło: pbs.twimg.com

zdjęcia policjantów odpowiedzialnych za te całe "zamieszki"
#usa #zamieszki #protest

źródło: i.redd.it

Czarni właściciele sklepów zaczynają przyczepiać informacje na szybach o tym, żeby nie plądrować ich sklepów, bo należą do czarnych właścicieli. Nasunęło mi się porównanie do czasów sprzed 80 lat u naszych zachodnich sąsiadów - z tą różnicą, że wtedy oznaczano sklepy, które miały być zdemolowane - dzisiaj informuje się o tym, żeby niektórych sklepów nie rabować.
#usa #protest pokaż całość

źródło: i.imgflip.com

Kto chce żeby na wykopie było jak na reddicie? xD
#ps4 #reddit

. . . kliknij, aby rozwinąć obrazek . . .

źródło: 1591096967853.jpg

USA za 2000 lat xD
#usa

GIF

źródło: i.pinimg.com (5.03MB)

#komunizm #antykapitalizm #antifa #kapitalizm

źródło: wykop.pl

#przegryw

Tak wygląda córka burmistrza #nyc De Blasio aresztowana wczoraj na Broadwayu za udział w nielegalnej manifestacji i przeszkadzanie pracy policji. Kiedy #bekazlewactwa wejdzie za mocno ( ͡º ͜ʖ͡º)
#usa #protesty #polityka #swiat #heheszki

źródło: 1591000264817.jpg

Według lewaków można okradać sklepy w USA bo przez lata był rasizm i elo. A wypok tego nie rozumie hehe wekopki debile.
#usa #protest #bekazlewactwa

Polak jest biedny; wiejskie pochodzenie, lata zaborów, wpływ komuny, rodziców, Jana Pawła Drugiego, pieca kaflowego w mieszkaniu.

Czarny jest biedny: wina genów, inteligencji i normalnego stanu rzeczy w przyrodzie.

#neuropa #4konserwy #usa #bekazpolakow #bekazprawakow #protest

Ten post jest skierowany wobec wszystkich #4konserwy którym zrobiło się ciepło w serduszku gdy Trump ogłosił zakazanie działalności Antify.

Przypominam że zakazanie jej będzie absurdalne i stanowiące zagrożenie dla wolności słowa z następujących powodów:

-Antifa jest całkowicie zdecentralizowana, a przez to nie może być zdefiniowana jako organizacja.

-Antifa nie posiada kierownictwa które mogłoby dyktować co wolno, a co nie wolno.

-Antifa to nie tylko demolka, jest wiele innych działalności w ramach Antyfaszyzmu.

-Każdy "członek" Antify jest osobą indywidualną, która przychodzi nieformalnie na pikiety, przez co nie można całej Antify określać przez pryzmat niektórych "fiołków", które czynią te i inne rzeczy w trakcie protestów.

-Są dwa ramiona Antify, liberalne i bojówkowe. Liberalna Antifa zajmuje się działalnością nienaruszającą dóbr, życia i zdrowia innych ludzi. Bojówkowa często przekracza te granice. Liberalni uważają metody bojówkarskie za zaprzeczające idei Antyfaszyzmu. Z drugiej strony Bojówkowi uważają Liberalnych za zbyt kompromisowych i nieskutecznych.

-Zakazanie działalności Antify zacznie sprowadzać się do wielu nadużyć w zakresie władzy wykonawczej przy zdefiniowaniu działalności Antyfaszystowskiej.

#neuropa #antifa #antykapitalizm #lewica #usa pokaż całość

źródło: upload.wikimedia.org