Выгибаем большую лапу

b00b1ik (b00b1ik@nigga.ru)

Xakep, номер #062, стр. 062-054-2

Теперь хакер вбивает в форму BigFoot ID тот аккаунт, который он хочет наглым образом присвоить себе. Для примера он ввел webmaster. Т.е. при удачном раскладе он заполучит мыльник с названием webmaster@bigfoot.com. Вводить род своей деятельности и день рождения не обязательно. Теперь хакер смело жмет на кнопочку continue. Взломщик принимает поздравления от администрации большелапых, что, мол, все нормально. Конгратулейшн выскакивает вообще в любом случае. Криво как-то они сделали, но хакера это уже не особо волнует.

Континится дальше. И... ХОБА! Появляется страничка, на которой его обламывают, говоря, что пасс неверный. Но хакер не парится. Он знает, что форма автоматом подставляет кривой пароль. Хе, это бигфутовцы думают, что у него теперь на душе кошки скребут. Они даже не подозревают, что страничка с просьбой ввести правильный пароль от ящика - это то, что хакеру и нужно. Дело в том, что под формой для ввода акка и пасса есть маленькая неприметная ссылочка: forgot password. Вот на нее-то взломщик и кликает. Далее вводит имя ящика, который он хочет заполучить и субмитит форму. Хакер ввел все тот же пресловутый webmaster, на что ему ответили следующее: Password has been sent to your forwarding address.

Пожинаем плоды

Через несколько минут, по идее, на мыло, указанное в качестве форвардинга (подставлено в ХТМЛ-коде), должен придти пароль от аккаунта на большой ноге. Хакеру он пришел почему-то только через 12 часов ;). Но это его не расстроило, т.к. пасс оказался верным и webmaster@bigfoot.com отошел в новые руки с короткими ногами.

Почему так получилось? Давай попытаемся понять. Дело в том, что при регистрации надо указать мыло для пересылки. Редиректовое, если так понятнее. Но в процессе регания ящика, бигфут.ком не проверяет, валидно ли то мыло, что хакер ввел в форме. При этом данные почему-то вставляются в инфо, в том числе и мейлбокс хакера в качестве "примари" ;). И только после этого бигфут спохватывается, мол, ахтунг, неправильный пароль!

Какую же выгоду хакер получает от этой дыры, помимо того, что может хакнуть мыльник своего знакомого? Есть много сервисов в интернете, при регистрации на которых можно вписать свой ящик на тот случай, если вдруг забыт пароль. Так что получить пользовательские аккаунты от таких сервисов, привязанных к бигфуту, не составит особого труда. Таким же образом хакеры могут рубить бабки с какого-нибудь е-голда. Все это очень плохо, и ни один законопослушный гражданин не станет этого делать. Он ведь всегда помнит об уголовном кодексе. И ты о нем помни!

Просто прими информацию к сведению и сделай вывод, что бигфут - это плохо, и пользоваться этим сервисом нельзя.

P.S. Благодарности я получаю по ВМ. Слать их нужно сюда: Z003145579817. И чем больше, тем лучше :).