Samstag, 11. November 2017, 17:02 Uhr

Das Alter von AutoScout24-Inseraten herausfinden (Low-Skill-Version)

In den letzten zwei Wochen waren Stephanie und ich auf der Suche nach einem Occasion-Auto als Ersatz für unseren altgedienten TOYOTA Yaris 1.3, den wir an einen Bekannten verkaufen dürfen.

Nach einer Probefahrt an einem Samstag bei einer Garage in der Region drängte uns der Verkäufer dazu, nicht zu Lange mit dem Kaufentscheid zuzuwarten. Die Nachfrage nach solchen Fahrzeugen sei gross und vielleicht könnte bereits jemand weiteres am Montag Interesse anmelden. Beim Sondierungsanruf des Garagisten am darauffolgenden Dienstag-Morgen hatte sich die Prophezeiung dann tatsächlich erfüllt: Ein zweiter Interessent hatte sich materialisiert, aber da wir zuerst angefragt hätten, hätten wir auch das Vorkaufsrecht. Wie anständig!

Verkäufer, die einem unter Zeitdruck setzen wollen, sind mir zunehmends suspekt. Nicht zuletzt, weil ich als Security Officer regelmässig mit Phishing-Mails zu tun habe, deren Autoren mit identischen psychologischen Tricks hantieren: „Alarm, bitte rasch handeln, sonst verlierst du nach 24 oder 48 Stunden Zugang zu deiner Apple ID“. Selbst Booking.com wendet solche Räubermethoden bei ihren Hotelangeboten an („Nur noch 1 Raum zu diesem Preis verfügbar“, „In den letzten 24 Stunden von 3 Personen gebucht“). Da muss man hart bleiben.

Im vorliegenden Fall hatte ich im Hinterkopf, dass ich das probegefahrene Auto vor Wochen bereits auf AutoScout24 gesehen hatte. Wieso also sollte ausgerechnet nun Eile bestehen, überhastete Kaufentscheide zu fällen?

Doch wie konnte ich meine Vermutung verifizieren? AutoScout24 hütet sich natürlich, solche Informationen in Autoanzeigen klar sichtbar anzupreisen. Die AutoScout-Kunden sind nicht wir (für uns ist der Service selbstverständlich kostenlos), sondern die Garagen, die Fahrzeuge verkaufen wollen und dafür AutoScout24 als Mittelmann einen „Wegzoll“ entrichten dürfen. Und wer zahlt befiehlt: Die Informations-Asymmetrie muss gewährleistet bleiben, denn man stelle sich vor, ein Käufer läuft in die Garage hinein und hat im Verhandlungspoker das Wissen in der Hinterhand, dass sein Traumfahrzeug ein Ladenhocker ist.

Wenn uns AutoScout24 also nicht direkt weiterhelfen will, helfen wir uns halt selber. Nach einer Debug-Session an einem dunklen Winterabend hatte ich die Lösung, die im Grunde naheliegend ist: Die Bilder der Autos, und zwar sowohl das Speicherdatum, als auch die im Bild eingebetteten EXIF-Daten.

Wer die Web-Site bereits einmal auseinandergenommen hat, weiss, dass die Bilder nicht als Originale ausgeliefert werden, sondern über ein Script, welchem man in den Parametern den Pfad, die Bilddimensionen und JPEG-Qualität mitgeben kann. Das schaut dann etwa so aus:


https://cas01.autoscout24.ch/toyota-verso-s-kompaktvan–minivan-2015-occasion/?1024×2048/3/90/custom/434/5101434/0.jpg

Die Bausteine lassen sich teilweise entschlüsseln (und beim Fehlen ist auf Grund eines Web-Entwicklers, dem OWASP wohl kein Begriff ist, auch mit hilfreichen Fehlermeldungen zu rechnen):

  • ?1024x2048 = Auflösung in Pixeln
  • /3 = „Quality Format“
  • /90 = Qualität (ein spontaner Test mit „95“ hat nicht funktioniert; d.h. die Werte sind hartkodiert)
  • /custom/434/5101434/0.jpg = Der absolute Pfad der Bilddatei auf dem NFS-Share, wobei ich den Wert 434 nicht deuten kann. Bei 434 handelt es sich um die letzten drei Zahlen der ID. AutoScout24 verwendet diese Zahl, um die Bilder strukturiert in Unterordner abzulegen, um nicht in einem einzigen Verzeichnis Millionen von Photos liegen zu haben. 5101434 ist die ID des Inserats.
    Die ID zählt übrigens stetig hoch. Kennt man also eine ID und ein Publikationsdatum vor diesem Inserat und eine ID und ein Publikationsdatum nach diesem Inserat, kann man den Veröffentlichungszeitpunkt eingrenzen und interpolieren.

Dieses Script stellt zwei Dinge sicher: Einerseits liefert der Web-Server als Erstellungsdatum des Bildes das Datum und die aktuelle Uhrzeit des Aufrufs mit. Andererseits entfernt das Script jegliche EXIF-Daten, welche viele verschiedene Informationen enthalten können, bspw. die GPS-Koordinaten, das Kameramodel, aber natürlich auch das Aufnahmedatum.

Gibt es eine Möglichkeit, auf die Originalbilder zuzugreifen? Selbstverständlich gibt es das, wird aber nirgends verwendet und ist schon gar nicht dokumentiert. Für das Photo, welches ich oben referenziert habe, lautet die URL:


https://cas01.autoscout24.ch/custom/434/5101434/0.jpg

Man benötigt also die Basis-URL https://cas01.autoscout24.ch sowie den String, der an den URLs öffentlich zugänglicher Photos hängt. Hier: /custom/434/5101434/0.jpg.

Lädt man dieses Photo nun unter macOS im Terminal mit wget herunter, liefert der Web-Server das ursprüngliche Speicherdatum mit. Das ursprüngliche Speicherdatum ist identisch mit dem Zeitpunkt, an welchem das Inserat aufgeschaltet wurde:

$ wget "https://cas01.autoscout24.ch/custom/434/5101434/0.jpg"
--2017-11-11 16:51:45--  https://cas01.autoscout24.ch/custom/434/5101434/0.jpg
Auflösen des Hostnamens cas01.autoscout24.ch… 91.208.180.147
Verbindungsaufbau zu cas01.autoscout24.ch|91.208.180.147|:443 … verbunden.
HTTP-Anforderung gesendet, auf Antwort wird gewartet … 200 OK
Länge: 542433 (530K) [image/jpeg]
Wird in »0.jpg« gespeichert.

0.jpg               100%[===================>] 529,72K  --.-KB/s    in 0,1s    

2017-11-11 16:51:47 (4,95 MB/s) - »0.jpg« gespeichert [542433/542433]

Das Upload-Datum der Datei lautet 31. August 2017, 08:50 Uhr morgens:

$ ls -l
total 1064
-rw-r--r--  1 user  staff  542433 31 Aug 08:50 0.jpg

Das ist realistisch — der 31. August war ein Donnerstag und 8:50 Uhr liegt innerhalb der Bürozeiten.

Und was sagt jhead, mit welchem man EXIF-Informationen auslesen kann?

$ jhead 0.jpg 
File name    : 0.jpg
File size    : 542433 bytes
File date    : 2017:08:31 08:50:08
Resolution   : 2048 x 1365
JPEG Quality : 89

Das sind leider keine EXIF-Informationen: AutoScout entfernt diese offenbar aus den Originalen, die sie im oben genannten Pfad ablegen.

Und so hatte ich mich in diesem konkreten Fall selber beruhigt, dass keine Hüst-und-Hott-Aktion nötig sein würde. Die Wahrscheinlichkeit, dass das als Schnäppchen angepriesene Auto zwei Monate lang herumstand und sich urplötzlich am selben Wochenende zwei Parteien dafür interessieren würden, war doch äusserst gering und wohl die Erfindung eines provisionsgetriebenen Verkäufers.

NB: Finde ich die Zeit, werde ich in einem zukünftigen Artikel beschreiben, wie die High-Skill-Version ausschaut. Kurzzusammenfassung: iOS-App, mitmproxy und JSON. So findet man alle möglichen Meta-Informationen zu einem Inserat, die man als Endbenutzer selbst in der App, aber auch auf der Web-Site nie zu Gesicht bekommt respektive nur in gefilterter/formatierter Version.

Tags: , , , , , ,
Labels: Web

30 Kommentare Kommentare

Andreas sagt:

Wow – dein Post wurde in der Medienbeobachtung und damit im internen Newsletter von Ringier erwähnt (Y)

Peter Fry sagt:

Lieber Mario

In diesem (obigen) Beitrag lese ich zwischen den Zeilen eine gewisse Abneigung gegen booking.com – und natürlich „Räuberseiten“ im Allgemeinen – heraus.
Ich habe konkret eine grosse Wut gegen Booking.com, weil diese auch unlauteren Marktteilnehmern „Räuberhilfe“ leisten…
Nun hätte ich da eine Idee, wie man booking.com (allenfalls auch andere Abstauber-Seiten) empfindlich treffen könnte.
Mein Fachgebiet sind allerdings Finanzen und Marketing, weniger IT. Wenn Du Lust und v.a. Zeit hättest, schildere ich Dir sehr gerne meine Idee.

Freundliche Grüsse aus Luzern

Peter Fry, lic,oec.pub.

Simon S. sagt:

Hab mir etwas anders beholfen, und zwar über ein Javascript Bookmarklet mit einem komfortablen Eingabefeld für jede Webseite (nicht nur Autoscout).

Das sollte allen technisch unbedarften Nutzern ohne Linux Bash auch helfen … hab es mal auf JSFiddle gepackt:

https://jsfiddle.net/s8Le5vgh/

Mario Aeby sagt:

Hi Joachim, gemäss Download mit wget wurde das Bild am 7. März 2019 um 20:04 erstellt:

7 Mär 20:04 120×90.jpg

Achim sagt:

leider funktioniert es bei mir auch nicht (oder ich bin zu doof?) hab es jetzt mehrfach getestet. könnte mir jemand sagen von wann das bild ist?

https://prod.pictures.autoscout24.net/listing-images/b37bab6e-b12a-4806-9547-bf3e8daae788_a21be983-fcda-4d44-9e85-7117cedf0504.jpg/640×480.jpg

Mario Aeby sagt:

19. März 2019, 09:12 Uhr

Joe sagt:

Falls man mit Firefox unterwegs ist, kann man es sich noch leichter machen.
Rechte Maustaste auf dem Bild – „Grafik anzeigen“
Rechte Maustaste auf diesem Bild – „Grafik-Info anzeigen“
Auf den Reiter „Allgemein“ wechseln.
Datum steht unter „Modifiziert:“

Aber ohne blog hätte ich nicht prüfen können, ob das Datum stimmt – vielen Dank!

Bono sagt:

leider funktioniert es bei mir mit den beiden Bildern auch nicht :-(

https://cas01.autoscout24.ch/custom/658/6095658/2.jpg
https://cas01.autoscout24.ch/custom/131/6620131/0.jpg

Danke für deine Hilfe.

Mario Aeby sagt:

18. April 2019, 11:24 Uhr

matze sagt:

Hallo Mario,

ich habe versucht, deine beschreibung mit wget unter windows nachzuvollziehen und habe es auch ein stückweit geschafft, aber halt nicht ganz. folgendes habe ich eingegeben:
wget -d –secure-protocol tlsv1 –no-check-certificate http://prod.pictures.autoscout24.net/listing-images/fa987ed2-4a12-4fd1-9236-318c9a2e3aa2_146ff16c-a61d-4cb6-ab76-ad44ecdedf51.jpg

ich hänge nun an der meldung fest:
403 Forbidden

die komplette meldung wäre zu lang. hast du einen tipp für mich, was ich noch eingeben kann, um diese ssl meldung zu umgehen und dennoch an die info zu gelangen? oder muss ich evtl einfach einen anderen bildpfad angeben?

gruß matze

Nick sagt:

https://www.autoscout24.de/angebote/skoda-octavia-rs-combi-navi-columbus-dab-spurhalteassistent-diesel-weiss-09f47b49-68df-462f-b9c4-5bc0be06dae8

Hallo, ich bekomme es mit dem Programm ebenfalls nicht hin.
Kann mir da eventuell wer weiterhelfen?!
Danke

Mario Aeby sagt:

@matze: Ich kann das Bild auch im Browser nicht öffnen. Bist du sicher, dass das Inserat noch aktiv ist?

Mario Aeby sagt:

@Nick: Mit folgendem Befehl klappt es bei mir:

wget --referer "https://www.autoscout24.de/angebote/toyota-verso-s-life-1-3-dual-vvt-i-panoramadach-dab-benzin-blau-5e223932-2c3e-40b9-bd08-67262283da8b?cldtidx=1" --user-agent "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)" "https://prod.pictures.autoscout24.net/listing-images/09f47b49-68df-462f-b9c4-5bc0be06dae8_85a1095f-508a-4c3f-98a3-a60f3da2e6a1.jpg/1280x960.jpg"

Das Bild scheint am 26. Februar 2019 um 11:13 Uhr zu Autoscout24.de hochgeladen worden zu sein:

96411 26 Feb 11:13 1280x960.jpg

Philip Lang sagt:

Hey :)
Könnte mir einer von euch das Datum dieses Inserat nachschauen? bekomme es selbst irgendwie nicht hin. Habe großes Interesse an dem Auto leider macht mich eine Bewertung dieses Händlers von etwas Sorgen. Diese ist einen Monat alt und geht um evt das gleiche Fahrzeug. Laut dieser Bewertung hatte der angbeotene VW T5 einen Motorschaden. Wäre euch sehr dankbar:)

Hier der Link vom Inserat
https://www.autoscout24.de/angebote/volkswagen-t5-transporter-t5-1-9-tdi-transporter-kasten-mittelhochdac-1-h-diesel-rot-58dfe4c4-2fe2-49bb-ac76-61314b17bb32?cldtidx=2

js sagt:

In den HTTP headers der Bilder (über den Entwicklermodus (F12) im Reiter Netzwerk) ist unter „last-modified“ m.E. auch i.d.R. das Einstelldatum enthalten.

Martin sagt:

Hallo

Wollte dies im Firefox anschauen, hab da jedoch nur das Datum von heute gefunden:

„https://cas01.autoscout24.ch/custom/284/8301284/0.jpg“

Hab nachher dies durchgeführt, ist mir jedoch nicht klar ob das richtig ist und wo ich das Resultat anschauen kann:

wget „https://cas01.autoscout24.ch/custom/284/8301284/0.jpg“ –no-check-certificate

Kann mir bitte jemand einen Tip geben?

Gruess
Martin

Mario Aeby sagt:

Jetzt liegt die Grafikdatei auf deiner Festplatte. Mittels

ls -l

kannst du die Dateien im lokalen Verzeichnis anzeigen lassen:

-rw-r–r– 1 user group 686710 Jan 16 13:54 0.jpg

Somit wurde die Grafik am 16. Januar 2021 hochgeladen.

Martin sagt:

Vielen Dank, konnte es nun nachvollziehen.
Gruess, Martin

Ben sagt:

Hallo, könnt ihr mir bei diesem Inserat helfen ? Würde gerne wissen wann das Auto inseriert wurde

https://www.autoscout24.de/angebote/audi-a3-1-4tfsi-navi-xenon-leder-s-tronic-ambiente1-hand-benzin-grau-f2a2b860-99fd-4907-a83b-3f3f23efbf00?utm_source=android-share

Vielen Dank im Voraus
Ben

Anja sagt:

Da die Inserate von Autoscout auch auf Comparis veröffentlicht werden, kann man einfach mittels Comparis nach dem Auto suchen und dort erscheint das Datum der Veröffentlichung dann ganz prominent.

Moritz sagt:

Aktuell scheint Autoscout ja gemerkt zu haben das man das alter einer Anzeige so finden kann und mehr :-/

Gerade Original Bilder sind wichtig aber nein…

Das bekomme ich aktuell als link für zwei mal das gleiche Bild:
https://prod.pictures.autoscout24.net/listing-images/44eb60d8-9390-439c-b063-eaf6b6bf358d_33730f48-18dc-4b3e-948f-bc8c7d508094.jpg/1920×1080.webp
https://prod.pictures.autoscout24.net/listing-images/44eb60d8-9390-439c-b063-eaf6b6bf358d_1c46e20a-16e4-46fe-a735-b976ef2cdf5e.jpg/720×540.webp

Kann man aus dem „webp“ Format auch ein Datum extrahieren?

Mario Aeby sagt:

Moritz, das hat absolut nichts mit dem Bildformat zu tun.

wget https://prod.pictures.autoscout24.net/listing-images/44eb60d8-9390-439c-b063-eaf6b6bf358d_1c46e20a-16e4-46fe-a735-b976ef2cdf5e.jpg/720×540.webp

datiert die Bilddatei gemäss Antwort des Servers auf

32520 Apr 27 16:04 720×540.webp

sprich 27. April 2022

Bernhard sagt:

Guten Morgen Mario,

da Du noch aktiv bist und ich technisch nicht ganz fit, habe ich eine kleine Bitte an Dich:

https://prod.pictures.autoscout24.net/listing-images/1426d6a6-1763-43b9-85ec-2d3d447793b3_7968dcef-94d8-4417-8fbc-9f6620921554.jpg/1920×1080.webp

Wie lange ist dieses Auto online? Ich habe einfach ein Foto aus der Mitte gegriffen, beim ersten wurde der Link nicht richtig angezeigt.

Der Händler bekommt beste Noten und der Wagen hat nur einen kleinen Fehler, den man hoffentlich schnell wieder auslesen kann.

Vielen Dank für Deine Mühe!
Grüße, Bernhard :o)

(noch einmal neu formatiert)

Hubertus sagt:

Hallo Mario, kannst du mir sagen, von wann dieses Foto ist?

Dankeschön,
Hubertus Wenderoth

Mario Aeby sagt:

Welches Photo, Hubertus?

Tobias sagt:

Ich muss ehrlich sagen ich bin technisch nicht so gut dabei… Könnte mir evtl. jemand bei diesem Auto das Alter des Inserates sagen, danke!
https://www.autoscout24.at/angebote/volkswagen-polo-gti-1-4-dsg-2-vorbesitzer-benzin-schwarz-2635ea05-ed54-465f-887c-0337abc79014?utm_source=ios-share&utm_medium=copy_link&utm_campaign=share

Kommentar erfassen