Éliminons « vk.com/away.php » ou la redirection vers des liens sains

En cliquant sur les liens publiés sur VKontakte, on peut remarquer que, comme dans d'autres réseaux sociaux, il y a d'abord une redirection vers un lien « sécurisé », après quoi le réseau social décide s'il laisse l'utilisateur continuer ou non. La plupart des utilisateurs attentifs ont remarqué l'apparition d'un instant « vk.com/away.php » dans la barre d'adresse du navigateur, mais, bien sûr, n'y ont pas prêté attention.

Contexte

Un jour, un programmeur, ayant terminé un projet, a réalisé qu'il était obsédé par l'envie d'en parler à tout le monde. Le projet était hébergé sur un serveur avec une IP unique, mais sans nom de domaine. Il a donc rapidement créé un joli sous-domaine de troisième niveau dans le domaine .ddns.net, qui a finalement été utilisé comme lien. 

En revenant un certain temps plus tard à la publication, le programmeur a découvert qu'au lieu du site, un écran de garde de VK s'ouvrait, informant de la redirection vers un site non sécurisé :

On pourrait penser que les utilisateurs avertis ont le droit de décider eux-mêmes sur quel site ils souhaitent se rendre, mais VKontakte pense autrement et ne permet aucune option, sans astuces, pour visiter le lien.

Qu'est-ce qui ne va pas

Cette mise en œuvre présente plusieurs inconvénients majeurs :

• Absence de possibilité d'ouvrir un site suspect. Comme mentionné précédemment, l'utilisateur n'a pas la possibilité de contourner l'écran de garde. Le seul moyen d'ouvrir le lien est de le copier et de le coller dans la barre d'adresse.
• Ralentit la redirection vers le lien. La vitesse de redirection dépend du ping. Ainsi, avec un ping élevé, des secondes précieuses de vie peuvent être perdues, ce qui, comme nous le savons, est inacceptable.
• Surveillance des redirections. Cette méthode facilite la collecte d'informations sur les actions des utilisateurs, que VK utilise certainement, en ajoutant à l'URL sécurisée l'identifiant du post depuis lequel la redirection a été faite.

Libérons Django

La solution optimale à tous les problèmes mentionnés ci-dessus pourrait être une extension pour le navigateur. Pour des raisons évidentes, le choix se porte sur Chrome. Sur Habr, il y a un excellent article article consacré à l'écriture d'extensions pour Chrome.

Pour créer cette extension, nous aurons besoin de créer dans un dossier séparé deux fichiers : un fichier JSON Manifest et un fichier JavaScript pour surveiller l'URL actuelle.

Créons le fichier Manifest

La principale chose dont nous avons besoin est de donner l'autorisation à l'extension de travailler avec les onglets et d'assigner le script exécutable :

{
  "manifest_version": 2,
  "name": "Run Away From vk.com/away",
  "version": "1.0",
  "background": {
    "scripts": ["background.js"]
  },
  "permissions": ["tabs"],
  "browser_action": {
    "default_title": "Run Away From vk.com/away"
  }
}

Créons un fichier js

C'est assez simple : dans l'événement déclenché lors de la création d'un nouvel onglet, nous ajoutons une vérification de l'adresse url, si elle commence par «vk.com/away.php», alors nous la remplaçons par la bonne, qui se trouve dans la requête GET :

chrome.tabs.onCreated.addListener(function (tabId, changeInfo, tab) {
	chrome.tabs.query({'active': true, 'lastFocusedWindow': true}, function (tabs) {
		var url = tabs[0].url;
		if (url.substr(0,23) == "https://vk.com/away.php"){
			var last = url.indexOf("&", 0)
			if(last == -1)last = 1000;
			var url = decodeURIComponent(url.substr(27, last-27));
			chrome.tabs.update({url: url});
		}
	});
});

Assemblons l'extension

En vérifiant que les deux fichiers se trouvent dans le même dossier, ouvrez Chrome, allez à l'onglet des extensions et cliquez sur « Charger l'extension non empaquetée ». Dans la fenêtre qui s'ouvre, choisissez le dossier de l'extension que vous avez écrite et cliquez sur assembler. C'est fait ! Maintenant, tous les liens de type vk.com/away sont remplacés par leurs originaux.

En conclusion

Bien sûr, ce type de redirections a sauvé beaucoup de gens de millions de sites frauduleux, cependant, je pense que les gens ont le droit de décider eux-mêmes s'ils veulent cliquer sur un lien non sécurisé ou non.
Pour votre commodité, j'ai hébergé le projet sur github.

Source : habr.com