Mail.Ru, дырка за дыркой

Xakep, номер #039, стр. 039-052-1

Михаил Ромашов (michel@mail.ru)

"Ваши проблемы нам до балды». Видимо, этот девиз избрал для себя сервер бесплатной почты mail.ru. За последние несколько лет в защите этого сервера было обнаружено несколько брешей. Каждый раз это приводило к короткой, но бурной неофициальной акции перераспределения адресов. Реакция же администрации сервера была всегда вялой. Так и кажется, что они смотрят на вас и говорят: «Ну что вы к нам пристали?».

Первая дырка

В конце 1998 года в веб-интерфейсе была обнаружена совершенно дурацкая, но, как впоследствии оказалось, очень распространенная ошибка. Суть ее заключалась в том, что авторизация пользователя производилась только один раз. Все дальнейшие операции производились без авторизации. Таким образом, можно было, зайдя на свой ящик, подкорректировать содержимое хтмл (изменить свой логин на чужой) и далее совершать все действия, например, смену пароля другого пользователя. Эта брешь в защите была обнаружена вашим непокорным слугой в ноябре 98-го года.

Вторая дырка

Где-то в 1999 году уже другими людьми была обнаружена новая ошибка (если это можно так назвать) в системе напоминания пароля. Любой приличный сервер, хранящий пользовательскую информацию, защищенную паролем, обязан иметь систему напоминания на случай, если нерадивый пользователь его забыл. На mail.ru для восстановления пароля необходимо ввести всю регистрационную информацию. Если вместо информации в каждое поле вводилось по одному символу пробела, то на следующей странице в исходном хтмл-коде можно было обнаружить пароль пользователя. В промежутках между багами служба технической поддержки развлекалась тем, что отдавала почтовые ящики юным хацкерам, присылавшим письма с просьбой дать пароль ввиду их детской забывчивости. Истинным же пользователям после этого было невероятно сложно доказать свою непричастность к роду верблюдов и вернуть ящик взад. Благодаря этому периодичность «ухода» моего ящика составляла строго полгода.

Третья дырка

И вот совсем свежий баг, порадовавший истинных ценителей неуставных взаимоотношений с компьютерной техникой. Сие свершилось в первую неделю января, ознаменовав тем самым начало года. Надеюсь, поговорка, что как встретишь Новый год, так его и проведешь, не омрачит деятельность сервера на ближайшие 12 месяцев. Нынешний баг так же мало, как и предыдущий, смахивал на деятельность криворучек-программеров, создателей софта мейл.ру. Гораздо больше все это похоже на специально заложенный ими backdoor. В системе напоминания пароля предусмотрен механизм отсылки пароля на твой почтовый ящик, указанный при регистрации. А теперь постарайся представить, какие надо иметь кривые руки, мозги и остальные части тела, чтобы додуматься вставлять этот пароль в хтмл-код страницы, выдаваемой пользователю после его отсылки на мыло, так сказать, на всеобщее обозрение. Спрашивается, зачем это нужно? Даже самый частый клиент самого последнего дурдома, которого выставляют на доске почета как самого круглого идиота года, употребив месячную дозу транквилизаторов, не придумал бы в своем наркотическом бреде причину для этого. Теперь каждый, кто знал адрес пересылки или адрес, заданный при регистрации пользователя, мог получить его пароль, что, собственно, и произошло.