{"id":531,"date":"2011-03-05T13:00:58","date_gmt":"2011-03-05T12:00:58","guid":{"rendered":"https:\/\/d-mueller.de\/blog\/?p=531"},"modified":"2011-03-05T19:14:04","modified_gmt":"2011-03-05T18:14:04","slug":"reingefallen-wie-man-sich-auf-facebook-likes-erschleicht","status":"publish","type":"post","link":"https:\/\/d-mueller.de\/blog\/reingefallen-wie-man-sich-auf-facebook-likes-erschleicht\/","title":{"rendered":"Reingefallen: Wie man sich auf Facebook „Likes“ erschleicht"},"content":{"rendered":"

Ich dachte eigentlich, immun gegen so billige Spielchen zu sein. Aus dem „Ich wei\u00df schon, wo ich hinklicke“-Grund hatte ich auch lange Zeit keinen Virenscanner drauf und fuhr eigentlich immer gut. Gestern hat michs jedoch erwischt – auf Facebook. Also jetzt nicht so richtig erwischt, aber ich habe ein Video geliked, ohne es zu wollen. Erbost ging ich der Sache auf den Grund und war ziemlich schockiert \u00fcber diese miese Praktik. Aber der Reihe nach.<\/p>\n

Es handelt sich „http:\/\/ksmp3.de\/Guten-Morgen-Schatz-geht-daneben\/<\/i>„. Bitte erstmal nix klicken. Facebook packt den Like-Button sinnvollerweise in ein IFrame, weil man so mit Javascript keinen Klick ausl\u00f6sen kann (Cross Domain Policy). Also muss der User selbst „Like“ klicken. Das was da erstmal aussieht, wie ein ordin\u00e4res Youtube-Video hat auf den zweiten Blick nicht mehr viel damit zu tun, da es sich eigentlich nur um Bilder handelt:<\/p>\n

Die normale Play-Bar:<\/b>
\n\"\"<\/a><\/p>\n

Und bei Hover:<\/b>
\n\"\"<\/a><\/p>\n

Dasselbe beim eigentlichen Video-Content:<\/b>
\n\"\"<\/a><\/p>\n

…und gehovert:<\/b>
\n\"\"<\/a><\/p>\n

Okay, schonmal ziemlich gut gemacht. Der Benutzer klickt nun also in freudiger Erwartung auf das Video. Jetzt greift folgendes Javascript:<\/p>\n

\r\n$(document).ready(function() \r\n{\r\n\t$('#player').mousemove(function(e) {\r\n\t\t$('#adra').css('left', e.pageX-1+'px');\r\n\t\t$('#adra').css('top', e.pageY-1+'px');\r\n\t});\r\n\t\r\n\t$('#player1').hover(function(){ $(this).css('background', 'url("videoContent2.jpg")');\r\n\t\t\t\t\t  },function(){ $(this).css('background', 'url("videoContent1.jpg")'); });\r\n\t\t\t\t\t  \r\n\t$('#player2').hover(function(){ $(this).css('background', 'url("videoNav2.jpg")');\r\n\t\t\t\t\t  },function(){ $(this).css('background', 'url("videoNav1.jpg")'); });\t\t\t\t\t\t      \r\n});\t\r\n\r\ndone = function()\r\n{\r\n\t$('#player').css('display', 'none');\r\n\t$('#realPlayer').css('display', 'block');\r\n}\r\n<\/pre>\n
Aha. Das Element #adra<\/i> folgt also der Maus. Beim Hover werden die Pseudo-Video-Bilder ausgetauscht, wie man es von Youtube gewohnt ist. Und beim Klick verschwindet letztendlich der Player und gibt das frei, was darunter liegt – Das freundlicherweise sogar #realPlayer<\/i> genannte Element, mit dem wirklichen Video.<\/p>\n
Im #adra<\/i>-Div liegt der Facebook-Like-Iframe mit folgendem CSS:<\/p>\n
\r\nelement.style {\r\n\tposition: absolute;\r\n\twidth: 2px;\r\n\theight: 2px;\r\n}\r\n<\/pre>\n
Wenn wir jetzt mal die Dimension des #adra<\/i>-Divs und des darin befindlichen Iframes etwas anpassen, kommen wir zu folgendem Ergebnis:<\/p>\n
\"\"<\/a><\/p>\n
Tja, und nach einem Klick geht dann das eigentliche Youtube-Video los. Vom Prinzip her eigentlich nur Clickjacking<\/b> in Perfektion – in einem verh\u00e4ltnism\u00e4\u00dfig ungef\u00e4hrlichen Kontext. Da ich aber hier selbst mal auf die Nase gefallen bin, hats mich doch ziemlich sensibilisiert. Und man \u00fcberlege sich mal, was mit dieser miesen Taktik noch alles m\u00f6glich w\u00e4re, ohne das der Benutzer etwas mitbekommt: Mit Vollzugriff ausgestattete Facebook-Apps erlauben etwa. F\u00fcr Datencrawler ein Paradies.<\/p>\n
Ich habe das erstmal bei Facebook gemeldet. Los werdet ihr den Mist wieder, indem ihr auf eurer Pinnwand das „X“ beim Beitrag klickt und Beitrag + Like entfernen<\/i> w\u00e4hlt. Ich scheine wohl auch nicht der Einzige zu sein, der darauf reingefallen ist. Aktuell verbreitet sich das Video wie die Seuche.<\/p>\n","protected":false},"excerpt":{"rendered":"
Ich dachte eigentlich, immun gegen so billige Spielchen zu sein. Aus dem „Ich wei\u00df schon, wo ich hinklicke“-Grund hatte ich auch lange Zeit keinen Virenscanner drauf und fuhr eigentlich immer gut. Gestern hat michs jedoch erwischt – auf Facebook. Also … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12,11,1],"tags":[],"class_list":["post-531","post","type-post","status-publish","format-standard","hentry","category-javascript","category-misc-it","category-persoenlich"],"_links":{"self":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/posts\/531","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/comments?post=531"}],"version-history":[{"count":0,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/posts\/531\/revisions"}],"wp:attachment":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/media?parent=531"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/categories?post=531"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/tags?post=531"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}