Свежие баги новой почты

xbit (stream@oskolnet.ru)

Хакер, номер #076, стр. 076-064-4

3. Ссылка. Даже полный ламер не клюнет на наживку, если крючек из нее будет торчать слишком нагло. Это я к тому, что неплохо было бы зашифровать сам линк. Делается это очень просто - при помощи hex-перекодировщиков, коих в Сети просто немерено.

Результат

После проделанных действий хакер получает все содержимое Куков пользователя: b=b; cust=hasfstLMt16rBDpYAy0vZ76EJcpMKmqJ; pfp=nm-1; popdf=nm-popdf-1; pfps=nm-3; session=zDMTsMnXVD4ugJuiOC6NcaeARLF5WtDm; b=b

Немного странная запись. Ты, наверное, ждал, что мы получим что-то типа связки логин-пароль? К сожалению, NewMail проводит авторизацию при помощи идентификатора сессии, что позже очень нам помешает :(. Итак, получив чужие куки я приступил к заключительному шагу – авторизации под видом жертвы. Заюзав специальный софт для редактирования кукисов я изменил свои данные на полученные (ранее я зарегистрировался на новой почте, где мне и поставили мои печенья). Набрав в браузере адрес сервера я с нетерпением ждал загрузки и успешной авторизации, но неожиданно возникла проблема которую я должен был предвидеть. Дело в том, что скрипт мог читать только куки которые были установлены сервером www4.newmail.ru, а процесс опознания проходил в домене www.newmail.ru. Позже разобравшись во всех Куках, я понял что они устанавливаются дважды – первый раз при вводе логина и пароля, а второй при попадании в домен www4.newmail.ru. Куки, устанавливаемые последним доменом, выудить удалось. Но для получения доступа к пользовательскому аккуанту, требовались и печенья полученные им при авторизации. Их у меня не было. Такой расклад событий меня не устраивал и загрузив индексную страницу почтовика я принялся выискивать аналогичный баг. Поиски были тщетны –бажных страниц больше не было. Да даже если бы и были, заманить ламера сразу на две страницы вряд ли удастся (конечно, можно организовать все дело при помощи pop-up окон, но это выглядело бы слишком подозрительно). Огорченный, я сделал еще две попытки зайти на сервак, но увы они были неудачными.

Знаешь, бывают такие моменты, когда, перепробовав практически все свои коронные фишки, хакеру приходиться отступать. Так было и со мной. Напоследок я еще пару раз поколдовал с печеньями, но и это оказалось пустой затеей. И вдруг я вспомнил один интересный случай из своей практики – из-за кривой системы опознания пользователя бажный форум пропускал любого обратившегося сразу к топику а не на индексную страницу. После этого у меня появилась слабая надежда, что одна из страниц почтовика могла не проверять печенья установленные индексным хостом (www.newmail.ru – этих Куков у меня не было). Успешно залогинившись под тестовым ником я записал адреса ключевых страниц управления аккуантом. Завершив сеанс сразу же приступил к реализации задумки – подменив печенья на украденные и изменив идентификатор сессии в параметре session_id стал поочередно просматривать страницы. Начал с почтового интерфейса и… увы, обломился. Но поиск продолжил. И удача улыбнулась мне – страница загрузки файлов на сервер не требовала отсутствующих кукисов! Это значит, что, завладев одним только идентификатором сессии, я мог админить сайт жертвы. А позже выяснилось, что для этих целей даже не надо подделывать cookie так как страница работает исключительно с сессией передаваемой параметром session_id.