Хак-конкурс: служба знакомств

Xakep, номер #069, стр. 069-089-1

Промчался месяц, с момента запуска Августовского конкурса, поэтому пришло время поздравлять победителя. Прошлый квест помогал придумывать Хинт, поэтому для того, чтобы его пройти, нужно было включить смекалку на максимум и временно забыть про компы – только тогда бы удалось угнать асю. В общем, мега-мозгом в этот раз стал ???????????. За его упорные умственные труды и старания мы не только поздравляем его, но и награждаем мега-пупер-папским ??????????????. Только домой к нему с призом не поедем – слишком уж он тяжелый – весит аж целый килограмм, поэтому придется тебе забирать его из редакции самовывозом :).

Вот сейчас ты держишь в руках новенький выпуск ][ и догадываешься наверное, что мы подготовили для тебя еще один хак-квест – такая уж нас традиция. Итак, следующий конкурс начнется 22-го сентября и будет заключаться вот в чем. Падонки создали службу интернет-знакомств для хакеров. Так получилось, что на нее часто заходит какой-то китайский хакcор сука-масука в поисках напарника в своих грязных делишках. Твоя цель – взломать сайт сайт падонкафф, узнать мыло суки-масуки и хитроумным методом достать пасс от его ящика (который, на самом деле совпадет с пассом от его аккаунта на www.padonak.ru). После этого тебе нужно выбрать из корзины его мыльника важную корреспонденцию и отправить ее на мыло конкурса (konkurs@real.xakep.ru).

Взлом целесообразнее разбить на следующие шаги:

1) Регаешься на сайте службы знакомств, которая расположена по известному адресу – www.padonak.ru

2) Логинишья

3) Идешь в раздел «поиск друга» и выводишь список всех юзеров

4) С помощью технологии SQL-injection получаешь хеш пасса нужного аккаунта

5) Пробуешь расшифровать хеш суки-масуки, но у тебя ничего не получается – пароль абсолютно не брутабельный

6) Обламываешься с расшифровкой и ищешь другие методы взлома :)

Как нужно было проходить августовский конкурс

Прошлый конкурс, как я уже говорил, не был связан с хакерством, а был рассчитан только на остроту ума. Для того чтобы победить в августовском конкурсе, нужно было пройти следующие шаги:

1) Пробиваешь по базе шестизнаков праймари-email от нужного UIN’a

2) Пытаешься восстановить пароль по секретному вопросу.

3) Секретный вопрос выглядит следующим образом: «371069?»;

4) Ты догадываешься, что нужно посмотреть делали UIN’a 371069

5) В деталях стоит линк на JPG-картинку, состоящую из восьми разноцветных полос

6) Спустя какое-то время понимаешь, что нужно посмотреть код цвета для каждой из восьми полос.

7) Собираешь все 8 кодов, преобразуешь в ASCII-представление и получаешь пасс от аси 371069.

8) Заходишь в ICQ 371069, и получаешь сообщение с пассом от юина, который требовалось поломать.