ammosov: Где дыра в Mail.ru

Юрий Аммосов, Солярный Миф (

ammosov) wrote,
@ 2007-09-20 09:04:00

Где дыра в Mail.ru
Как может быть, вы знаете, у меня недавно сломали один из почтовых адресов и захватив его, стерли эккаунт в ЖЖ. Адрес был на Mail.ru. Я заподозрил, что при взломе использовались какие-то уязвимости почты и пошел разбираться, где ж собака зарыта. Долго ли, коротко ли искал, однако нашел я возможную дыру - и это не дыра, а целые ворота настежь, приходи и бери пароль. Не знаю, этот ли канал использовали взломщики, но где лежит эта дыра и как ее немного прикрыть, я вам покажу.

Итак, шаря по настройкам ( http://win.mail.ru/cgi-bin/options?####### ) , я вдруг наткнулся на поразительную ссылку (вида http://win.mail.ru/cgi-bin/userinfo?####### ) под названием "Анкетные данные: Здесь хранится информация, введенная Вами при регистрации почтового ящика: ФИО, дата рождения, а также некоторые настройки М-Агента. ".

Чтоб было понятно: несколько лет назад на волне моды на собственные интернет-пейджеры в Mail.ru сделали аналог ICQ - Mail.ru Агент. Агент ставился по умолчанию при регистрации и помимо чата и проверки почты еще и собирал о пользователе данные о том, чем он в сети занимается - то есть попросту шпионил за ним. Тогда это еще не считалось зазорным - на другом крупном портале, забыл название,такого шпиончика ("колобка", кажется) втыкали всем, кто сдуру браузер на нем открывал, причем "колобок" еще и деинсталляции не поддавался. От Агента же хоть отказаться было можно. Собранные подобным образом данные предполагалось рекламодателям продавать. Через какое-то время пошла война борьбы с адварезами и мальварезами, да и пользователи поумнели, и сейчас Агент ставят в основном подростки да прочие чайники. Однако оказалось, что в веб-настройки Mail.ru всем пользователям задним числом добавили экранчик вот такого вида!

И все подчеркнутые мною галочки там были по умолчанию отмечены. В том числе галочка "отображать эти данные в Mail.ru Агенте". То есть, если вы регистрировали почту на Mail.ru до того, как был придуман Агент, начиная с какого-то момента все ваши основные личные данные (имя, фамилия, дата рождения) стало возможным увидеть через Агент.

А параллельно с этим на Mail.ru была сделана программная система восстановления пароля. Если вы нажмете на "забыл пароль", вам предложат дать ответ на контрольный вопрос. Однако а ну как вы ответ забыли? И чтобы не перегружать техподдержку тысячами писем от пользователей, в Mail.ru сделали проще. "Воспользуйтесь СИСТЕМОЙ ВОССТАНОВЛЕНИЯ ПАРОЛЯ". Это не обмен данными с живым сотрудником, это скрипт, программа. http://mail.ru/cgi-bin/passremind

И вот как она выглядит:

Чтобы получить пароль, не обязательно точно заполнить все поля. Достаточно угадать какую-то их часть. И скрипт сам, без участия человека, вышлет пароль на тот почтовый адрес, который вы укажете. А что за данные нам нужны? Имя, фамилия, год рождения... и откуда их взять? Правильно, посмотреть в анкете, которую Mail.ru любезно нам покажет через Mail.ru Агент.

Таким образом, у Mail.ru правая рука не знает, что левая делала. Одна вешает замок, другая кладет ключ под коврик. Одни менеджеры используют пользовательские данные для хранения секрета, другие выставляют их напоказ для раскрутки социальной сети и удовольствия рекламодателей. Сколько времени так продолжалось, я не знаю - возможно, несколько лет. Еще раз подчеркиваю: анкеты пользователей Mail.ru стали в какой-то момент доступны через Агент без ведома их владельцев и сейчас становаятся доступными по умолчанию. И этих данных вполне достаточно, чтоб, зная ваш адрес, взять у Mail.ru ваш пароль.

Скорее всего, это не последняя дыра в Мэйл.ру, но как уже было сказано, то, что я описываю, это не дыра, это ворота настежь. Это не ошибка и не злой умысел - это просто уму непостижимая глупость менеджмента и инженеров Мэйл.ру.

Так ли ломали ящики ЖЖ-юзеров, или не так, но вашим первым действием по прочтении поста сейчас должно быть не написать комментарий, а
- открыть ваш ящик на Mail.ru, List.ru, Bk.ru или Inbox.ru
- войти в настройки "Анкетных данных"
- отключить все галочки до одной.
- и поменять заодно все обязательные анкетные данные.
Пока все эти возможности в вашем почтовом эккаунте не отключены - ВЫ УЯЗВИМЫ.

А сделав все это, возвращайтесь сюда и уже тогда пишите комментарии.

Page 1 of 8
<<	[1] [2] [3] [4] [5] [6] [7] [8]	>>

(Post a new comment)

	dr_wolf 2007-09-20 05:19 am UTC (link)
	спасибо в общем ) везде проверил все (Reply to this)

	ascate 2007-09-20 05:22 am UTC (link)
	помню читал описнаие дыры в маил ру лет 6 назад. Так вот там точно так же ломалось через восстановление пароля. Интересно как часто они будут наступать на одни и теже грабли? (Reply to this) (Thread)(Expand)

	mcjabberwock 2007-09-24 02:57 pm UTC (link)
	Да вряд ли часто. Они с этих граблей ещё не сошли... (Reply to this) (Parent)

(no subject) - (Anonymous), 2009-06-16 03:44 am UTC (Expand)

	mad_beaver 2007-09-20 05:28 am UTC (link)
	Все гораздо проще, я думаю. У меня секретным словом была девичья фамилия матери, в анкете этой информации не было. Тем не менее, ломанули влет. (Reply to this) (Thread)(Expand)

	(Anonymous) 2007-09-20 05:52 am UTC (link)
	Там не сказано "заполните ВСЕ поля", там сказано "заполните КАК МОЖНО БОЛЬШЕ полей". Возможно, скрипт выдает OK и отсылает пароль, если заполнено всего 3-4 поля (Reply to this) (Parent)(Thread)(Expand)

	нечто подобное я и подозревал som 2007-09-20 05:49 am UTC (link)
	ок. надо перепостить. (Reply to this) (Thread)

	christinefityh 2008-07-17 08:05 am UTC (link)
	Org Proxy-Connection: keep-alive allan Это надо перепостить. . . Allan ( allan ) wrote, @ - 10 - 16 Entry tags: ЖЖ Это надо перепостить. (Reply to this) (Parent)

	ex_svgmzr291 2007-09-20 06:08 am UTC (link)
	Нет там никакого скрипта. (Reply to this) (Thread)

	r0sin 2007-09-21 04:00 am UTC (link)
	+1 (Reply to this) (Parent)

	Спасибо. dikem 2007-09-20 06:13 am UTC (link)
	С мейл агентом очень интересно. Наверняка по рукам ходит скрипт автоматического заполнения формы восстановления пароля по словарю (Reply to this)

	ivanytch 2007-09-20 06:39 am UTC (link)
	там идет вопрос, который вы выбрали, день варенья не фигурирует. (Reply to this)

	prohodimec 2007-09-20 07:01 am UTC (link)
	Даже если людьми. Сидит там гоблин, троешник. Перед ним список, где надо галочки поставить... А он думает о пиве после работы. (Reply to this) (Parent)

	newrabbit22 2007-09-20 06:57 am UTC (link)
	спасибо) процитирую) (Reply to this)

	Сенксы. pmn_2 2007-09-20 06:58 am UTC (link)
	Спасибо. Отличная работа. (Reply to this)

	graf_yurgen 2007-09-20 07:45 am UTC (link)
	Я свой 7-ми летний рамблер-ящик разве что на платник махну - есть такая идея. (Reply to this) (Parent)(Thread)(Expand)

	nestoklon 2007-09-20 07:26 am UTC (link)
	Спасибо (Reply to this)

	kingoleg 2007-09-20 07:31 am UTC (link)
	Сейчас будет всплеск посетителей на мейл.ру (Reply to this) (Thread)

	klimanskaya 2007-09-21 08:14 am UTC (link)
	ага, вот прям к 3 млн (или сколько там в сутки) знааатно прибавится посещаемости за счет жжшных желающих проверить "слив" :)) 3 "ха". (Reply to this) (Parent)

	igorbasic 2007-09-20 05:33 pm UTC (link)
	к вашему сведению в россии умеют делать хороший софт и я бы не стал так категорично заявлять. тем более в ообласти в которой вы не разбираетесь (Reply to this) (Parent)(Thread)(Expand)

	wilgelmina 2007-09-21 04:47 pm UTC (link)
	какая разница свои или не свои? (Reply to this) (Parent)(Thread)(Expand)

	nattengottin 2007-09-20 11:17 am UTC (link)
	Серьезно? У меня такое было, когда каменты за несколько лет исчезали реально на глазах- при каждом обновлении страницы их становилось все меньше (Reply to this) (Parent)(Thread)(Expand)

	euraboff 2007-09-20 08:45 am UTC (link)
	Агентом давно не пользуюсь,но тем не менее когда он у меня был я указал там свой старый ящик и туда постоянно приходит спам.Но у меня есть еще 1 ящик на маил.ру созданный не так давно,там спама нет вообще. (Reply to this)

	medvejenok_dima 2007-09-20 08:49 am UTC (link)
	Там еще вон оказывается какая фишка: http://avva.livejournal.com/1084134.html если раз ввел ящик, то потом можешь хоть сто раз переходить на другой. Если первый захвачен - кирдык. По-моему это неумно, мягко говоря. (Reply to this) (Thread)(Expand)

	akigo 2007-09-20 04:04 pm UTC (link)
	удалите первый и все (Reply to this) (Parent)(Thread)(Expand)

	(Anonymous) 2007-09-20 09:04 am UTC (link)
	Жалко,что я это прочла только тогда, когда мне уже взломали почтовый ящик!!!!!!я просто не могу понять возможно ли восстоновить ящик после его взлома??!!Кто -нибудь может мне это объяснить!!!!?? (Reply to this) (Thread)

About

Help

Get Involved

Legal

Store

LJ Labs

	zemsky 2007-09-20 07:29 pm UTC (link)
	восстановить мейлру? зачем? провайдеры, чаще всего, дают бесплатный почтовый ящик у себя - это намного круче. (Reply to this) (Parent)(Thread)(Expand)

	charset 2007-09-20 04:32 pm UTC (link)
	Регистрация в GMail давно уже возможна без приглашений. (Reply to this) (Parent)(Thread)(Expand)

	_kleptos_ 2007-09-20 12:30 pm UTC (link)
	там есть basic html вариация не требующая поддержки браузером javascript вообще. (Reply to this) (Parent)(Thread)(Expand)

	yakimets 2007-09-20 09:59 am UTC (link)
	спасибо зашифровался (Reply to this)

	zzzkolya 2007-09-20 10:07 am UTC (link)
	Стер агент. Наверно чайник. (Reply to this) (Thread)

	куплю череп (Anonymous) 2008-03-02 10:11 pm UTC (link)
	куплю череп. желательно фото мне на е-майл asogwe@mail.ru (Reply to this) (Parent)

Username:		Create an Account Forgot your login or password? Login w/ OpenID
Password:
	Remember Me
	English • Español • Deutsch • Русский…