Avant tout Afin de ceux qui sortent du coma ou qui ne sortent aucun i domicile, Tinder est une application pour faire des rencontres sexuelles sympathiques, disponible concernant smartphone ou l’inscription se fait seulement via le compte Facebook (malheureusement peut-etre mais heureusement Afin de ce billet. ).
Le principe est simple, des profils avec photos, prenoms, ages et descriptions vous sont presentes et vous devez switcher vers la droite pour “liker” ou par la gauche pour “noper” chaque profil. Si vous “likez” un profil et que l’individu vous “like” egalement ce qui donne 1 “match” et vous pouvez commencer a sexter discuter. Desole via avance, Cet article et cet outil ne vous permettrons nullement d’augmenter significativement la tableau de chasse ou a vous depuceler! A l’inverse vous pourriez vous rendre compte que la derniere/actuelle/future conquete n’est pas si serieuse que ca et qu’elle a surement acquis ici plus d’experience de “likes” que toi tu n’en acquerras dans toute ta vie ;]
Passons aux choses techniques.
Avant tout tout et cela est presente ici, je cite : “It’s not a bug it’s a feature” d’apres Tinder.
https://besthookupwebsites.org/fr/snapmilfs-review/
Comme nombre d’applications, Tinder dialogue constamment avec une API hebergee a l’adresse. Cette API n’est pas publique et non documentee. Avec votre outil comme Mitmproxy concernant proxifier la connexion entre l’application et les serveurs c’est possible d’observer l’ensemble des echanges. Pour ceci il va falloir au prealable pousser 1 certificat genere par Mitmproxy dans le smartphone concernant pouvoir dechiffrer la connexion entre le smartphone et le serveur.
Le certificate pinning fut implemente au sein d’ l’application ce qui la protege contre les attaques du type (Man in the Middle)[. Le ou les certificats SSL des serveurs Tinder sont stockes en dur dans l’application et verifie que les echanges ne semblent jamais interceptes, dechiffres et re-chifres via un tiers au cours des communications application serveur .
Pour i?tre capable de bien de meme observer nos echanges il va falloir installer une application sur le telephone. Android-SSL-TrustKiller est une application qui permet de contourner le SSL certificate pinning. Le traffic ne pouvant plus etre vraiment truste apres l’installation Il semble preferable d’utiliser un telephone de test.
Pour installer Android-SSL-TrustKiller il suffit de :
- Telecharger l’APK ici : pre-compiled APK
- Installer l’application Cydia Substrate via le smartphone
- Installer les tools Android pour adb : # apt-get install android-tools-adb
- Brancher le smartphone Android
- Activer le mode developpeur sur le smartphone
- Activer le “Debogage USB” dans les “Options Afin de les developpeurs”
- Verifier que le portable est beaucoup reconnu
- Lancer l’installation
Une fois la configuration en place on va pouvoir commencer a analyser les echanges. Si l’on lance l’application on observe une premiere requete par l’url .
Le detail en requete :
Concernant le token facebook c’est un tantinet plus complique, la faculte de le recuperer sans passer par le dechiffrement des echanges par un proxy sont limites. Il est possible de le trouver une facon suivante avec le plugin firefox Firebug. Vous devez lancer firebug et se rendre sur cette page facebook. Vous devrez normalement vous connecter ou si vous l’etes deja vous recueillerez votre popup : Cliquer sur “OK” et vous devez maintenant voir apparaitre une reponse a la requete POST confirm?.dpr1 dans l’onglet reseau de Firebug:
Le token facebook correspond l’integralite une chaine de caracteres d’une variable access_token un coup qu’on possede le id et son token on va pouvoir commencer a dialoguer avec l’API de Tinder.
Il va falloir aussi savoir, ainsi, cela va avoir toute le importance ici, que Tinder a integre pendant l’ete 2016 une nouvelle fonctionnalite “Tinder Social” dans le application. Elle permet de “sortir entre amis” et de rencontrer d’autres groupes d’amis pour une orgie aller boire une biere ou 2 ou plus. Cet option que chaque utilisateur est amene a accepter et accepte tel d’habitude le regard fermes permet a l’application d’acceder via facebook a Notre liste de ses amis qui utilisent aussi Tinder ! Notre reciproque est donc pure, ces amis verront que, vous aussi, vous etes en. recherche de l’ame soeur.
Pour dialoguer avec l’APi de Tinder quoi En plus sympas que d’utiliser Python. Je me suis servi de Mitmproxy afin d’analyser les differentes requetes qu’effectuait l’application. J’ai pu ainsi identifier nos URI correspondants aux differentes fonctionnalites de l’application Afin de des reproduire. L’API est dans la majorite assez simple et renvoi des precisions en JSON facilement parsables.
Lorsqu’on affiche votre profil utilisateur sur l’application (Le fait que l’on parle le profil d’un ladyboy Thailandais n’est que pur hasard) :
Notre requete qui recupere l’integralite de l’ensemble de ses amis Facebook present sur tinder :
La requete envoyee quand on “like” un profil :
