Pisets

На mail.ru
несколько МИЛЛИОНОВ пользователей.
Есть процент, который имеет слабую
память и тупые мозги, чтоб
запомнить свой пароль и частенько
эти перцы сталкиваются с проблемой
забывания пароля (Я охреневаю от
тех людей, которые сидят
выдумывают себе пароли посложней,
а потом их теряют. Пароли должны
быть легко запоминающемися.
Например, имя вашей любимой
собачки. У меня ее зовут Tq%b8iO&P#aSn5 )
Итак, даже небольшой процент от
более чем милионной толпы
владельцев мыльниц - это тоже
своеобразная толпа, которая
требует свои пароли. Существуют
всякие системы аля ;Забыл пароль
в котором вас спрашивают ответ на
секретный вопрос, данные, которые
Вы вводили при регистрации и т.п. Но
самое интересное, что этим
занимается не человек, а машина, т.е.
обычная программулина !!!! А если
есть программа - есть в ней дыра.
Теперь приступим к описанию
конкретных действий.
Тут все просто. По адресу pass.recovery200@mail.ru
сидит mail-робот, который
анализирует запросы на
восстановление пароля и в
зависимости от этого либо уточняет
ваши данные, либо сразу шлет пароль.
На сайте есть форма для заполнения
с всевозможными параметрами,
которая потом шлется роботу со
специальным Subject'ом. Фишка в том,
что если в сабжект впихнуть не один,
а два запроса, то проверятся будет
последний ящик, а информация будет
выслана для второго! Так шевелим
мозгами... Правильно! Высылаем два
запроса: в одном сообщаем инфу о
ящике жертве, во втором инфу о
своем (о своем то мы все знаем ;-) )
Итак, мы хотим обломать vasya_pupkin@mail.ru
Наш ящик hacker@mail.ru
пароль qwerty
Пишем письмо роботу на pass.recovery200
Subject:login=vasya_pupkin&pass=&answer=;login=hac ker&pass=qwerty&answer=
Т.е. первый раз вставляем в тему
письма запрос о ящике-жертве -
vasya_pupkin@mail.ru : login=vasya_pupkin&pass=&answer=
А потом, через точку с запятой
второй запрос, с вашими данными,
которые робот проверит и убедится,
что они правильные!
login=hacker&pass=qwertyanswer=
Итого : тема сообщения выглядит вот
так :login=vasya_pupkin&pass=&answer=;login=hacker&pas s=qwerty&answer=
Все, ждите пасс на ваше мыло!!! (Answer =
ответ на секретный вопрос, но
прокатывает и без него, запросы
разделяются точкой с запятой. :up:

ser

Помоему такое было давно и к тому же не правда
Были истории с флешками вставлеными в письмо и с яваскриптом, вобщем все уже давно закрыли и пофиксили.

Imperio

мда.. статейке лет 5 наверно

Павел

Пять не пять, а всё работает, сам попробывал,респект PISETS :up:

Mich

Это лохотрон, не верьте, так умные люди юзают ваш пароль, соц. инжинерия называется, этот прикол сначала был на хакер.ру, вот и сюда добрались!

Noshpic

Это все конкретный н@еб. Я это уже видел лет так 5-6 назад. Уже появились намного оригинальней истории о взломе mail.ru.

SERIK

Простой развод! Это понятно! И тема действительно подустарела!


____________________________________
Ещё как, дата последнего поста 3.12.2004

Viruz

Да все это понт.........проверял неработает....................но.........есть там исправление ..............и все тогда работает.........оно недавно появилось т.к. это правда что инфа уже старая........ :up:

vxk7m

2 Viruz, ну просвещай нас невежд тогда.

asft.fl#sh

Всем понятно, что это лохотрон, но объясню по буквам, как это можно провернуть себе на пользу.
С полным разбором Javascript-кода

Нужно мне узнать пароль от ящика своей подруги. Пусть это будет ящик podruga@rambler.ru. Делаю так, чтобы она очень-очень сильно захотела кого-нибудь взломать (как это сделать, думай сам), после чего анонимно отправляю ей примерно такое письмо:

Ты хочешь взломать ящик на rambler.ru? Вот как это делать...
По адресу Rambler_mail_recovery_robot@rambler.ru сидит робот, который... но в нём есть ошибка... и т.д. и т.п.

Начитавшись умных писем, подруга отправляет примерно такую мессагу на ящик rambler_mail_recovery_robot@rambler.ru

hackme@rambler.ru : login=hackme@rambler.ru&pass=&answer=
login=podruga&pass=MyPasswordanswer=My dog's name
login=hackme&pass=&answer=;login=podruga&pass=MyPa ssword&answer=My dog's name

Теперь что делаем мы: до этого мы должны зарегить на себя ящик rambler_mail_recovery_robot@Rambler.ru и ждать прихода этого заветного письма, где подруга САМА скажет СВОЙ пароль и ответ на секретный вопрос.

И вообще, как можно попадаться на подобную х3рню?