Угон ящиков на e-mail.ru

ncroot

Xakep, номер #066, стр. 066-062-2

Теперь остается лишь зайти под новыми реквизитами в ящик и почитать в нормальном режиме содержимое. Только не забывай, что выискивать в своей адресной книге знакомых с адресом e-mail.ru и читать их почту запрещено законом, и, разумеется, ни к чему такому ни автор статьи, ни редакция журнала тебя не склоняют. Само собой, при помощи этой уязвимости можно получить доступ к ящикам и в других доменах: @supermail.ru, @vipmail.ru, @e-mails.ru и т.д. Полный список уязвимых адресов ты найдешь на сайте e-mail.ru. Хочу сразу огорчить: ящики вроде admin, root и т.п. не являются аккаунтами админов. Зато в них лежит немереное количество спама и писем пользователей с просьбой помочь: "не могу войти в свой ящик" :-). Вот тебе и замкнутый круг. Мылом админа является ящик на @amedia.ru, куда Петр послал сообщение: "Почему любой перец может читать почту юзеров e-mail.ru? Это разве нормально?" Но админ пропустил это мимо ушей, поэтому баг работает до сих пор.

Как защититься?

Как ты только что убедился, при взломе интернет-систем не всегда следует заморачиваться сложными алгоритмами – часто решение находится прямо под носом. Теперь о защите пользователей этого сервиса. Ни Петр, ни кто-либо из его воображаемых друзей так и не придумали, как же защититься от этого произвола. Помочь пользователям E-mail.ru могут только грамотные web-кодеры, которые, для начала, должны попросту добавить проверку старого пароля при попытке сменить его. А пока решение только одно - использовать другой почтовый сервис. Хотя, учитывая статьи в предыдущих номерах Х, складывается впечатление, что безопасных служб не осталось вовсе :). Что ж, в такое время мы живем.

Сколько вешать?

Я хотел бы сразу тебя предостеречь: не следует применять сведения, полученные из этой статьи, на практике в корыстных целях. Во-первых, это противоречит законодательству РФ, а во-вторых, это крайне неэтично. Представь, что твою собственную почту могут прочитать тысячи человек - правда, неприятно? На самом деле, статья очень наглядно показывает, что бывает, когда интернет-вору необходимо взломать конкретный ящик, а вместо этого угрозе подвергается вся почтовая система с миллионом пользователей. Тем более что в рассматриваемом случае был задействован только браузер + совсем капелька мозгов (и заметь: никаких приемов с XSS, подразумевающих участие атакуемого!). Хотелось бы также обратиться к разработчикам web-систем. Друзья! Давайте жить дружно! Поменьше ходите в клубы, поменьше пейте пива - сидите над кодом ночами и постоянно думайте о миллионах ваших пользователей и деньгах, которые вы на них зарабатываете.

INFO

Если бы хакера, нашедшего багу, задержали в Китае, ему грозило бы около 120 млн. лет тюрьмы.