> ## Content Index
> Fetch the complete content index at: https://preadmin26.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# Читатель Tj протестировал государственный мессенджер из Крыма и с лёгкостью взломал аккаунт
- URL: https://preadmin26.kod.ru/chitatiel-tj-protiestiroval-ghosudarstviennyi-miessiendzhier-iz-kryma-i-s-lioghkostiu-vzlomal-akkaunt/
- Published: 2018-04-16T05:06:15.000Z
- Updated: 2018-04-16T04:59:36.000Z
- Author: Игорь Савкин
- Tags: Интернет, #Import 2026-10-15 05:40

Разработчики «Диалог М» заявляли, что сервис безопасен.

![leonardo.osnova](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova.png)

15 апреля госкомпания «Крымтехнологии» начала открыто [тестировать](https://kod.ru/v-krymu-tiestiruiut-novyi-miessiendzhier-dialogh-m/?ref=preadmin26.kod.ru) собственный мессенджер «Диалог М». Разработчики напрямую связали ранний запуск своего «быстрого и безопасного» сервиса с решением о блокировке Telegram. В Крыму назвали «Диалог М» возможной альтернативой «подобным приложениям иностранных компаний» и отметили: «В плане конференции он будет даже получше, чем Telegram».

Читатель Tj протестировал браузерную версию «Диалог М» и убедился, что он не так безопасен, как заявляли авторы. Любой аккаунт можно украсть за 3-4 минуты.

Заходим в форму авторизации и вбиваем произвольный номер.

![leonardo.osnova-1](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova-1.png)

После этого форма предлагает ввести код, пришедший на указанный номер. Если попытаться отправить код, то видно, что он проверяется по адресу im.krtech.ru/auth/3556666666666/xxxx

Оказывается, что этот URL можно «дёргать» как угодно часто, поэтому пишем простенькую функцию, которая подбирает четырёхзначный код.

![leonardo.osnova-2](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova-2.png)

Через короткое время код находится.

![leonardo.osnova-3](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova-3.png)

В моём случае код оказался 5817\. Но, судя по всему, сам код одноразовый, так как повторный вызов im.krtech.ru/auth/3556666666666/5817 выдаёт ошибку, а, значит, залогиниться по нему уже не получится.

Однако в ответ на запрос вернулся токен, который, может быть, остался годен. Чтобы проверить его, идём в JS-код, и ищем, откуда происходит запрос на адрес [https://im.krtech.ru/auth/](https://im.krtech.ru/auth/?ref=preadmin26.kod.ru)...

Строка быстро отыскивается.

![leonardo.osnova-1-1](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova-1-1.png)

Ставим брейкпоинт и снова нажимаем на кнопку авторизации. Прослеживаем, как код исполняется дальше и попадаем в место, в котором обрабатывается ответ от сервера. Здесь подменяем ответ с ошибкой на токен, который до этого получили перебором.

![leonardo.osnova-3-1](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova-3-1.png)

Запускаем код дальше и оказываемся авторизованными. Можно даже написать кому-нибудь.

![leonardo.osnova-4](https://preadmin26.kod.ru/content/images/2018/04/leonardo.osnova-4.png)

Всё то же самое можно сделать с номером уже зарегистрированного пользователя и, таким образом, «угнать» аккаунт.

Автор угнал аккаунт редактора TJ в «Диалог М» в качестве эксперимента и с его согласия, а также с надеждой на то, что разработчики исправятся. Лучше так не делать. Неправомерный доступ к компьютерной информации преследуется по закону.

Источник: [Tjournal](https://tjournal.ru/69162-ya-protestiroval-gosudarstvennyy-messendzher-iz-kryma-i-s-legkostyu-vzlomal-akkaunt?ref=preadmin26.kod.ru)

*Подписывайтесь на «Код Дурова» в [Telegram](http://t.me/d%5Fcode?ref=preadmin26.kod.ru) и во [«ВКонтакте»](http://www.vk.com/kod?ref=preadmin26.kod.ru), чтобы всегда быть в курсе интересных новостей!*