Thread by @g0ktu6_

Yeni yılın ilk flood'unu Exxen üzerine atayım dedim. Herkese iyi seneler, bakalım Exxen incelememizde neler neler çıkmış?

Öncelikle ilk dikkatimi çeken şey, eğer adınızda Türkçe karakterler varsa, kesinlikle bu karakterler bozuluyor. Bu beni biraz şaşırttı.

Kaynak kodunu biraz incelediğiniz zaman sayfaya üst üste iki tane google analytics hesabı yüklenmiş gözüküyor, bir tane yetmez dediler sanırım. Ek olarak nereye tıkladığımızı ne kadar vakit geçirdiğimizi vs. daha iyi takip edebilmek için de Facebook Pixel tanımlanmış.

Fotoğrafları wimage.exxen diye bir url'den çekiyorlar, cdn kafası. Mantıklı. Ama en azından hata ekranı kapatılsaydı da detaylı bilgiler gösterilmeseydi.

Twitter ya da Facebook'da paylaşacağınız zaman, URL'ler exxen-demo.erstream.com olarak gözükecek. Siteyi ilk gördüğüm zaman bu Acun Medya'nın işi değil demiştim, erstream isimli Video Delivery şirketi yapmış. Buyrun web sitesi: erstream.com

İçerik koruması adına bir şey yapılmamış, yani ben bir hesap oluşturup ya da oluşturmayıp, javascript kodları arasından public key'i alıp istediğim içeriği çekip kendi oluşturacağım bir sitede paylaşabilirim. Neyin eksik olduğu zaten aşağıda açıklamada yazıyor 😁

Bunun doğrusu ise sadece exxen.com'dan gelecekler istekleri kabul etmek olacaktır, fakat şuanda bu olmadığı için isteyen istediğini yapabilir, at koşturabilir.

İşte geldik en can alıcı noktalardan bir tanesine, sisteme üye ya da kayıt olurken, kişisel bilgilerinizi arka plana şifrelemeden ya da korumadan gönderdikleri için, kafede otururken giriş yapmak isterseniz, eğer o kafedeki ağı dinleyen birisi varsa şifrenizi ele geçirir.

Altta göreceğiniz üzere, beni hatırla butonunu seçseniz dahi bir işlevi olmayacak, çünkü her türlü HAYIR değeri en son gidiyor.

Bildiğimiz Netflix'i alın çok tuttu demişler ve yapmışlar. Tebriks

İçerik izleyemiyoruz, neden? Çünkü Javascript hataları bizim giriş yapıp yapamdığımızı anlayamıyor ve giriş yapmadığımızı düşünerek kendince engelliyor.

Bakın ne buldum? Dsmart GO ile Exxen'in altyapısı bire bir aynı 😁 Sadece kullanılan tasarım biraz değiştirilmiş.
dsmartgo.com.tr/anasayfa

Bu da neden? Altyapının Erstream tarafından herkese aynı şekilde satılması. Bakalım şu siteye efendim: filmboxlive.com/tr/home - DAHA DA NETFLİXLEŞMİŞ EXXEN

Şifremi güncellemek istedim, fakat kod gelmiyor. Kod'u tekrar gönder diyecek olsam da, butonu çalışmıyor çünkü sadece metin olarka yazılmış.

URL'den e-posta değiştirdiğimiz zaman, istediğimiz kişiye mail atabiliyoruz gibi gözüküyor.

Verify'ı başarılı bir şekilde geçtim, fakat burda çok ilgi çekici bir olay oldu. Hatırlarsanız üstteki Göktuğ yazısı bozuluyordu Türkçe karakter problemi yüzünden, nedense burda bozulmadı?

Gezinirken bir şeyler oldu ve tekrar gitti, anlamadım.

Bu sefer farklı bir e-posta gireyim dedim, böyle güzel bir hata verdi 😁

Aynı zamanda istediğimiz kullanıcıya da sms atabiliyor gibi gözüküyoruz verifikasyon SMS'ini

URL'den TR kısmını sildiğimizde tüm stringler bozuluyor, en azından tr'ye yönlendirseydiniz.

Daha ve en kritiği, kredi kartı bilgileri de şifrelenmeden, şakkk diye gönderiliyor arka plana. Okul, Kafe, Metrobüs gibi yerlerde sadece URL'i dinleyen birisi, sizin EXXEN üzerinde yaptığınız tüm işlemleri inceleyebilir ve kredi kartı bilginiz dahil şifreniz telefon numaranız...

... vs. Her şeyi alabilir, bakın HER ŞEYİ. Olması gereken ne derseniz, genellikle kullanılan gönderilen bilgilerin şifrelenerek gönderilmesi yolu. Şifrem 6 karakterli olmasına rağmen bakın nasıl gönderiyor şifremi.

Küçük ölçekli web sitelerinde bunda bir problem yok, fakat exxen gibi netflix kafasında, her yerde kullanılabilecek app'larda bu çok ciddi bir güvenlik açığı yaratır.

Ek olarak, abonelik iptaliği yapabileceğim bir yer görmedim. Yani bir kere abone oldun mu çıkamazsın mı demek istiyorlar acaba?

Daha fazla inceleyip kalbime insin istemedim. Yeni yılınız tekrar kutlu olsun 🎊🎊🎊