powered by simpleCommunicator - 2.0.49     © 2025 Programmizd 02
Форумы / Java [игнор отключен] [закрыт для гостей] / csrf token
25 сообщений из 73, страница 2 из 3
csrf token
    #39894765
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
fixxer
apb12
пропущено...

все правильно он там и есть как его оттуда достать автоматом?


Просто сделай запрос на форму авторизации и сохрани токен и кукис из хедера. Потом сделай запрос на страницу статистики указав в хедерах токен и кукис от страницы авторизации.

токен в хедере образуется только если запрос сделан из их формы
если я делаю просто запрос постманом тут же получаю invalid scrf token
...
Рейтинг: 0 / 0
csrf token
    #39894771
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
mayton
apb12
пропущено...

да )

Хулиган. А начинал как приличный JavaEE (ш)кодер. А щас? - Хакерство. Парсинг сайтов. Лотереи.

да не хулиган,просто на эти парсеры хороший спрос - хочу сделать шаблон ,но хоть убей не пойму как они обходят эту защиту
без токена сервер ничего не отдает,токен генерится в формах ,если я дублирую такой же запрос вне формы то получаю хер с маслом
...
Рейтинг: 0 / 0
csrf token
    #39894777
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
mayton
пропущено...

Хулиган. А начинал как приличный JavaEE (ш)кодер. А щас? - Хакерство. Парсинг сайтов. Лотереи.

да не хулиган,просто на эти парсеры хороший спрос - хочу сделать шаблон ,но хоть убей не пойму как они обходят эту защиту
без токена сервер ничего не отдает,токен генерится в формах ,если я дублирую такой же запрос вне формы то получаю хер с маслом

Я не знаю как фиксить твою беду. UI-ные техники - это не моё. Но я-бы поставил первым делом
https://www.wireshark.org/

И в течение некоторого времени походил-бы браузером и понаблюдал-бы трафик в текстовом виде.
Скорее всего там действительно работает какая-то защита от дурака но тебе недостаточно средств
браузера чтобы ее видеть. Возможно надо видеть стек глубже включая SSL/TLS события. Вайр-шарк
их должен по идее показать.

После этого твоё Java-приложение должно генерировать ТОЧНО такой-же трафик. Такие-же запросы и ответы
как и браузер с приложением и с секретным протоколом.

Сравни потом два лога и увидешь расхождения.
...
Рейтинг: 0 / 0
csrf token
    #39894780
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
mayton
apb12
пропущено...

да не хулиган,просто на эти парсеры хороший спрос - хочу сделать шаблон ,но хоть убей не пойму как они обходят эту защиту
без токена сервер ничего не отдает,токен генерится в формах ,если я дублирую такой же запрос вне формы то получаю хер с маслом

Я не знаю как фиксить твою беду. UI-ные техники - это не моё. Но я-бы поставил первым делом
https://www.wireshark.org/

И в течение некоторого времени походил-бы браузером и понаблюдал-бы трафик в текстовом виде.
Скорее всего там действительно работает какая-то защита от дурака но тебе недостаточно средств
браузера чтобы ее видеть. Возможно надо видеть стек глубже включая SSL/TLS события. Вайр-шарк
их должен по идее показать.

После этого твоё Java-приложение должно генерировать ТОЧНО такой-же трафик. Такие-же запросы и ответы
как и браузер с приложением и с секретным протоколом.

Сравни потом два лога и увидешь расхождения.

там обычная защита от крос сайтовых атак ,заключается в том что при отправке любого запроса с их сайта генерится уникальный токен,который уходит вместе с запросом на сервер,там происходит проверка если легитимный токен -происходит ответ сервера,ЕСЛИ нет токена или просроченый получишь json invalid scrf token

у меня у самого на всех сайтах такая защита стоит
на те запросы,которые я не хочу получать ботов парсеров - я ставлю scrf токен
...
Рейтинг: 0 / 0
csrf token
    #39894792
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Так что? Мы констатируем что мы - не знаем что происходит? Чудо-чудное?
...
Рейтинг: 0 / 0
csrf token
    #39894795
Фотография fixxer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
mayton
пропущено...

Хулиган. А начинал как приличный JavaEE (ш)кодер. А щас? - Хакерство. Парсинг сайтов. Лотереи.

да не хулиган,просто на эти парсеры хороший спрос - хочу сделать шаблон ,но хоть убей не пойму как они обходят эту защиту
без токена сервер ничего не отдает,токен генерится в формах ,если я дублирую такой же запрос вне формы то получаю хер с маслом


А ты hidden поле с токеном отправляешь, когда эмулируешь отсылку формы?
...
Рейтинг: 0 / 0
csrf token
    #39894796
Leonid Kudryavtsev
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
mayton
Так что? Мы констатируем что мы - не знаем что происходит? Чудо-чудное?

пока можно константировать, что автор взял работу (оплачиваемую?) в которой не разбирается, а делать ее предлагает совместно всему форуму

исходя из этого, мне кажется топик давно должны были в подфорум Работа перенести
...
Рейтинг: 0 / 0
csrf token
    #39894817
PetroNotC Sharp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
хочу сделать
где сниффер?
Бла бла бла.
...
Рейтинг: 0 / 0
csrf token
    #39894821
Alexey Tomin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
отправляет на сервер мой логин методом пост


Нет :)
Первый шаг- отправить запрос GET на адрес https://passport.yandex.ru/auth - и вот тут ответ содержит нужные куки.
...
Рейтинг: 0 / 0
csrf token
    #39894869
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Alexey Tomin,
отправил - вижу в форме токен)
щас попробую его извлечь
и две нужные куки
далее я должен два раза сэмулировать отравку логина и пароля с нужными кукями
и наконец то смогу добраться до нужного мне урла
...
Рейтинг: 0 / 0
csrf token
    #39894933
Alexey Tomin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
отправил - вижу в форме токен)
щас попробую его извлечь
и две нужные куки
далее я должен два раза сэмулировать отравку логина и пароля с нужными кукями
и наконец то смогу добраться до нужного мне урла


Ну вот теперь Вы в теме кук и заголовков :)
...
Рейтинг: 0 / 0
csrf token
    #39894939
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Alexey Tomin,
теперь нужно победить вот этот момент)
я получаю в теле вот такой html
Код: html
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
<div id="root" class="layout">
<div class="passp-flex-wrapper">
<div class="passp-page">
<div class="passp-bg passp-bg_13">
</div>
<div class="passp-flex-wrapper">
<div class="passp-content">
<div class="passp-auth">
<div class="passp-page-overlay">
</div>
<a data-lego="react" href="#" tabindex="0" class="control link link_theme_normal passp-previous-step-button passp-previous-step-button_hidden">
<span class="passp-previous-step-button__icon"></span></a>
<div class="passp-auth-header">
<a data-lego="react" href="https://passport.yandex.ru/registration?process_uuid=ca9928b5-6733-4dc2-b663-1b7d9d72b987" tabindex="0" class="control link link_theme_normal passp-auth-header-link passp-auth-header-link_visible">Зарегистрироваться</a>
<a data-lego="react" href="/auth/list?mode=edit" tabindex="0" class="control link link_theme_normal passp-auth-header-link">Другой аккаунт</a><a data-lego="react" href="//yandex.ru" tabindex="-1" class="logo logo_name_ys-ru-98x42 logo_type_link passp-logo passp-logo_ru">logo:yandex</a></div><div class="passp-auth-content"><div class="passp-page-visibility"></div>
<div class=""><div class="passp-auth-screen passp-add-account-page">
<div class="passp-add-account-page_has-social-block"><h1 class="passp-title "><span>Войдите, чтобы продолжить</span></h1>
<div class="passp-login-form">
<form method="post" action="https://passport.yandex.ru/auth">
<input type="hidden" name="retpath" value=""/>
<input type="hidden" name="fretpath" value=""/>
<input type="hidden" name="clean" value=""/>
<input type="hidden" name="service" value=""/>
<input type="hidden" name="origin" value=""/>
<input type="hidden" name="policy" value=""/>
<input type="hidden" name="is_pdd" value=""/>
<input type="hidden" name="csrf_token" value="a5e9ccde91eb48b4d27b88a85fa86471c356f49a:1574842095048"/>


нужно добраться до этого токена) пока чего то не получается)
...
Рейтинг: 0 / 0
csrf token
    #39894954
PetroNotC Sharp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Alexey Tomin
apb12
отправил - вижу в форме токен)
щас попробую его извлечь
и две нужные куки
далее я должен два раза сэмулировать отравку логина и пароля с нужными кукями
и наконец то смогу добраться до нужного мне урла


Ну вот теперь Вы в теме кук и заголовков :)
зато с ленью и без сниффера)
...
Рейтинг: 0 / 0
csrf token
    #39894955
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
добрался таки )
и вот это только начало и за это платят 2400 рублей
а ведь еще надо все в базу записать
сделать графику ,интерфейс,аналитику
толи я в этой жизни чего то не понимаю,то ли фрилансеры свой труд вообще не ценят
...
Рейтинг: 0 / 0
csrf token
    #39894958
PetroNotC Sharp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12,
У тебя недавно был заказчик тупой. Теперь фрилансеры).
Как у Высоцкого, обнаженные нервы у тебя))
...
Рейтинг: 0 / 0
csrf token
    #39894973
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
PetroNotC Sharp
apb12,
У тебя недавно был заказчик тупой. Теперь фрилансеры).
Как у Высоцкого, обнаженные нервы у тебя))

может ты и прав))
пс.вытащил пока куки и токен,сейчас пробую сэмулировать форму ,беда в том что там двух шаговая авторизация
но посмотрим щас что к чему
...
Рейтинг: 0 / 0
csrf token
    #39895023
Alexey Tomin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
толи я в этой жизни чего то не понимаю,то ли фрилансеры свой труд вообще не ценят


Ну так это обучение идёт. Фрилансерам за обучение на платят.
...
Рейтинг: 0 / 0
csrf token
    #39895035
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Alexey Tomin
apb12
толи я в этой жизни чего то не понимаю,то ли фрилансеры свой труд вообще не ценят


Ну так это обучение идёт. Фрилансерам за обучение на платят.

согласен но разве вот такое приложение
ОБход авторизации
парсинг по времени с возможностью настройки интервала
аналитика по изменениям и графический уи
база данных савтоматическим удалением по выбранным интервалам

вот разве все это 2400?

да даже опытный джавист такое будет писать пару дней
+ плюсом сюда идет и фронт и базы

ну я конечно пока в расценках не силен,но кажется это даже ниже чем таксист в день получает
...
Рейтинг: 0 / 0
csrf token
    #39895040
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
по поводу темы
сгенерировал форму ,положил туда куки,логин,и токен
в ответ пришел джейсон ,такой же как и если бы я на странице в форме ввел

а где взять новые куки и новый токен,чтобы сделать последний шаг в авторизации-отправка пароля
на сайте в тулзе разраба эти куки видны ,а в респонсе их нет почему то
...
Рейтинг: 0 / 0
csrf token
    #39895047
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
и еще в джейсоне сам токен scrf неполный

в форме он выглядел вот так

sfs12312232d :123124353
а в джейсоне прилетает вот только передняя часть sfs12312232d

странно вообщем ,чего то не хватает
...
Рейтинг: 0 / 0
csrf token
    #39895108
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Народ помогите что не так не пойму

сначала захожу на страницу авторизации и из формы беру токен и куки

Код: java
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
 public void ppp() throws IOException, ParseException {
        Connection.Response  response = Jsoup.connect("https://passport.yandex.ru/auth")
                .method(Connection.Method.GET)
                .execute();

        Map<String,String>map=response.cookies();
        System.out.println(map);
        String scrf=null;
        Document document=Jsoup.parse(response.body());
        Element element=document.getElementsByClass("passp-login-form").first();
        Elements listEl=element.getElementsByTag("input");
        for(Element e:listEl){
            if(e.attr("name").equals("csrf_token")){
                scrf=e.attr("value");
            }
        }
...
Рейтинг: 0 / 0
csrf token
    #39895109
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12,

Это как диссертация. Там написать - не сильно большая проблема. Вот защитить и получить бабло.
...
Рейтинг: 0 / 0
csrf token
    #39895111
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Далее я в форму кладу то что получил-токен,куки и ввожу логин

Код: java
1.
2.
3.
4.
5.
6.
7.
Connection.Response ss=Jsoup.connect("https://passport.yandex.ru/registration-validations/auth/multi_step/start")
                .method(Connection.Method.POST)
                .ignoreContentType(true)
                .cookies(map)
                .data("login","stanisl4v.alekseev")
                .data("csrf_token",scrf)
                .execute();


в ответ мне приходит json-он точно такой же ,как и если бы я просто ввел свой логин на странице яндекса

но вот далее загвоздка -мне нужно отправлять пароль- и тут загвоздка где взять новый токен и новые куки
в json ,который прилетает после ввода логина
выглядит вот так
Код: xml
1.
{"status":"ok","magic_link_email":"stanisl4v.alekseev@yandex.ru","csrf_token":"02fdb5c42a58790ee2577cc5424952c2","can_authorize":true,"preferred_auth_method":"password","auth_methods":["password","magic_link","magic_x_token"],"track_id":"1d039a905db5035fb06dca588b37992816","id":"81b72168e3575b83fa915a0943015c6716"}


а если вводить логин черех форму сайта - там видно куча куки и хедеров - в том же ответе что получаю я -ничего нет
...
Рейтинг: 0 / 0
csrf token
    #39895114
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
тоесть получается в первый раз ,когда я обращался к странице авторизации - я получал html страницу внутри которой уже лежала форма с токеном и в респонсе лежали нужные куки

сейчас же отправляя форму руками - я получаю лишь json в ответ
вопрос как получить все остальное куки и форму новую
...
Рейтинг: 0 / 0
csrf token
    #39895149
apb12
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
apb12
тоесть получается в первый раз ,когда я обращался к странице авторизации - я получал html страницу внутри которой уже лежала форма с токеном и в респонсе лежали нужные куки

сейчас же отправляя форму руками - я получаю лишь json в ответ
вопрос как получить все остальное куки и форму новую

короче фиг его знает как делать
1 шаг нормально ввожу логин получаю норм ответ сервера в виде джейсон
2.в новую форму нужно вводить одно поле из этого джейсона
парль токен и куки
токен я получил просто перегрузив страницу с формой и распарсил ее
но вот где куки то взять там отлетает порядка 26 кукишей
...
Рейтинг: 0 / 0
25 сообщений из 73, страница 2 из 3
Форумы / Java [игнор отключен] [закрыт для гостей] / csrf token
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]