0

Задался целью исследовать и, по возможности, использовать некоторые встроенные функции движка vk.com, такие как отправка сообщений, нажатие на лайк, некоторые операции с аудио, и тому подобное. Обязательное условие, не использовать vk api, т.е. действия должны быть сымитированы, как будто я использую стандартный механизм через интерфейс сайта.

Начал с самого простого, отловил XMLHttpRequest на отправку сообщения и вытащил хедеры. После чего написал небольшую функцию и запустил в консоли.

function go() {
    var r = new XMLHttpRequest();
    var q = 'Message=^&act=a_send_box^&ajax=1^&al=1^&chas=a01dfe4bd253a6c2f7^&from=box^&media=wall211592748_35^&title=^&to_ids=211592748';
    r.onreadystatechange = function() {
        if (r.readyState == 4) {
            if (r.status >= 200 && r.status < 300) {
                alert('done');
                } else { 
                alert('fail');
            }
        }
    }
    try {
        r.open('POST', '/al_im.php', true);
        } catch(e) {
        return false;
    }

    r.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
    r.setRequestHeader('X-Requested-With', 'XMLHttpRequest');

    r.send(q);
    return r;
}

go();

Запрос ушёл, в ответ пришёл статус 200, done и блок текста. Но сообщение не отправилось.

Тогда я нажал Replay XHR, для того, чтобы браузер самостоятельно повторил запрос, и после этого сообщение ушло.

Не понимаю, в чём может быть проблема.

Если у кого-нибудь есть идеи или наработки, то буду очень благодарен за помощь.

4
  • Сообщение точно не отправилось? Если вызвать ваш код, а затем обновить страницу, сообщения нет? 28 авг 2017 в 22:47
  • Точно, нет. Более того, видимо vk использует long polling так как в случае с Replay XHR я сразу же без обновления страницы вижу, что сообщение приходит.
    – Arsinclair
    28 авг 2017 в 22:54
  • "отправить прямо со страницы" С какой страницы? CORS не слышали? "Если у кого-нибудь есть идеи или наработки" то бесплатно он их не отдаст ,вещь скоропортящаяся, денег для поддержки всегда мало 28 авг 2017 в 23:41
  • @koshkashoshka, интересует лишь наработка возможности отправить запрос. Наработка функционала не нужна. Ответил в комментариях к первому ответу: отправляю с той же самой страницы vk, так что это один и тот же домен. CORS применимы лишь когда шлёшь с другого сайта, правильно?
    – Arsinclair
    29 авг 2017 в 6:37

1 ответ 1

1

Во первых - когда вы делаете XMLHttpRequest в vk, то ваши куки из соседней вкладки с авторизованным vk не отправляются в vk. Во вторых ajax между разными доменами по-умолчанию запрещён.

Так устроен ajax. Почему "по умолчанию" ajax между разными доменами не разрешить: в таком случае любой сайт можно было бы превратить в "армию роботов", которые совершают от IP-адреса пользователя без его ведома использование чужих сайтов - не относящихся никак к исходной площадке.

Сначала причины запрета были более весомы - как защита от XSS, от кражи паролей: вообще нельзя было слать ajax между разными доменами, а затем ввели CORS заголовок: например с домена vasya-pupkin.pru шлётся запрос на vk.com, и если vk.com в ответе вернул CORS заголовок - то vasya-pupkin.pru получает тело этого запроса, а иначе: нет. vk.com сам решает - разрешить себя читать с помощью ajax, или нет.

Объяснил подробнее - потому что надобность кросс-доменных ограничений при ajax на сегодняшний день не слишком очевидна. А вообще куки через cross-ajax всё равно не утащить, а то что запрос ajax-ом и он сторонний, сервер и так понять может: поэтому эти ограничения, как и CORS, возможно скоро уйдут из web-стандарта.

т.е. действия должны быть сымитированы

Тем не менее имитацию можно сделать. Но только посредством сервера, и только передав своему серверу в запросе данные для аутентификации (чужие данные вы при этом не сможете взять, так как доступ между окнами разных доменов будет заблокирован - отправка сообщения в ВК, это же iframe) - ваш сервер может от своего IP может безгранично слать запросы куда-угодно. Так вот вы делаете на сервере прокси (вручную, на PHP, например это делается с curl) - отправляете запрос на свой сервер, а он уже проксирует его на vk.com .

и запустил в консоли.

То, о чём говорилось выше - это о запуске кода при открытии web-страницы. В консоли, а так-же в других плагинах браузеров: может быть своя логика(и свои баги), так как там ограничений практически нет.

4
  • Да, я наталкивался на пару статей, где объясняли, что в данном случае мешает CORS. Конечно, может я немного не понимаю логику этих ограничений, но мне всегда казалось, что домен то один и тот же. Находясь на странице vk.com/* я шлю запрос на vk.com/*, так что какие тут должны быть проблемы? Или в качестве домена-отправителя, в этом случае, выступает мой IP-адрес, а не vk.com?
    – Arsinclair
    29 авг 2017 в 6:30
  • Что касается куки и авторизационных данных, то в том числе я пробовал отправлять куку r.setRequestHeader('Cookie', document.cookie);, но это не помогло.
    – Arsinclair
    29 авг 2017 в 6:31
  • то в том числе я пробовал отправлять куку конечно не помогло, потому что у iframe-а своя кука, к которой нет доступа из родительского документа, а document.cookie - совсем другая кука. Если бы доступ был - представьте, от имени пользователя можно было бы совершать деятельность на любом портале - такие дыры закрыли ещё в 95м году . 29 авг 2017 в 10:14
  • Находясь на странице vk.com/* я шлю запрос на vk.com/*, так что какие тут должны быть проблемы? Или в качестве домена-отправителя, в этом случае, выступает мой IP-адрес, а не vk.com? в таком случае, да, должен быть vk.com . Ну вы тогда лучше симулируйте ajax, а следом симулируйте клик, и сравните отправленные запросы: что-то упустили, какой-то заголовочек/параметр/CSRF-токен - что-то такое 29 авг 2017 в 10:17

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.