Как украсть пароль от почты на майл.ру

66482
Как может быть, вы знаете, у меня недавно сломали один из почтовых адресов и захватив его, стерли эккаунт в ЖЖ. Адрес был на Mail.ru. Я заподозрил, что при взломе использовались какие-то уязвимости почты и пошел разбираться, где ж собака зарыта. Долго ли, коротко ли искал, однако нашел я возможную дыру - и это не дыра, а целые ворота настежь, приходи и бери пароль. Не знаю, этот ли канал использовали взломщики, но где лежит эта дыра и как ее немного прикрыть, я вам покажу.



Итак, шаря по настройкам ( http://win.mail.ru/cgi-bin/options?####### ) , я вдруг наткнулся на поразительную ссылку (вида http://win.mail.ru/cgi-bin/userinfo?####### ) под названием "Анкетные данные: Здесь хранится информация, введенная Вами при регистрации почтового ящика: ФИО, дата рождения, а также некоторые настройки М-Агента. ".

Чтоб было понятно: несколько лет назад на волне моды на собственные интернет-пейджеры в Mail.ru сделали аналог ICQ - Mail.ru Агент. Агент ставился по умолчанию при регистрации и помимо чата и проверки почты еще и собирал о пользователе данные о том, чем он в сети занимается - то есть попросту шпионил за ним. Тогда это еще не считалось зазорным - на другом крупном портале, забыл название,такого шпиончика ("колобка", кажется) втыкали всем, кто сдуру браузер на нем открывал, причем "колобок" еще и деинсталляции не поддавался. От Агента же хоть отказаться было можно. Собранные подобным образом данные предполагалось рекламодателям продавать. Через какое-то время пошла война борьбы с адварезами и мальварезами, да и пользователи поумнели, и сейчас Агент ставят в основном подростки да прочие чайники. Однако оказалось, что в веб-настройки Mail.ru всем пользователям задним числом добавили экранчик вот такого вида!

Как украсть пароль от почты на майл.ру


И все подчеркнутые мною галочки там были по умолчанию отмечены. В том числе галочка "отображать эти данные в Mail.ru Агенте". То есть, если вы регистрировали почту на Mail.ru до того, как был придуман Агент, начиная с какого-то момента все ваши основные личные данные (имя, фамилия, дата рождения) стало возможным увидеть через Агент.

А параллельно с этим на Mail.ru была сделана программная система восстановления пароля. Если вы нажмете на "забыл пароль", вам предложат дать ответ на контрольный вопрос. Однако а ну как вы ответ забыли? И чтобы не перегружать техподдержку тысячами писем от пользователей, в Mail.ru сделали проще. "Воспользуйтесь СИСТЕМОЙ ВОССТАНОВЛЕНИЯ ПАРОЛЯ". Это не обмен данными с живым сотрудником, это скрипт, программа. http://mail.ru/cgi-bin/passremind

И вот как она выглядит:

Как украсть пароль от почты на майл.ру


Чтобы получить пароль, не обязательно точно заполнить все поля. Достаточно угадать какую-то их часть. И скрипт сам, без участия человека, вышлет пароль на тот почтовый адрес, который вы укажете. А что за данные нам нужны? Имя, фамилия, год рождения... и откуда их взять? Правильно, посмотреть в анкете, которую Mail.ru любезно нам покажет через Mail.ru Агент.

Таким образом, у Mail.ru правая рука не знает, что левая делала. Одна вешает замок, другая кладет ключ под коврик. Одни менеджеры используют пользовательские данные для хранения секрета, другие выставляют их напоказ для раскрутки социальной сети и удовольствия рекламодателей. Сколько времени так продолжалось, я не знаю - возможно, несколько лет. Еще раз подчеркиваю: анкеты пользователей Mail.ru стали в какой-то момент доступны через Агент без ведома их владельцев и сейчас становаятся доступными по умолчанию. И этих данных вполне достаточно, чтоб, зная ваш адрес, взять у Mail.ru ваш пароль.

Скорее всего, это не последняя дыра в Мэйл.ру, но как уже было сказано, то, что я описываю, это не дыра, это ворота настежь. Это не ошибка и не злой умысел - это просто уму непостижимая глупость менеджмента и инженеров Мэйл.ру.

Так ли ломали ящики ЖЖ-юзеров, или не так, но вашим первым действием по прочтении поста сейчас должно быть не написать комментарий, а
- открыть ваш ящик на Mail.ru, List.ru, Bk.ru или Inbox.ru
- войти в настройки "Анкетных данных"
- отключить все галочки до одной.
- и поменять заодно все обязательные анкетные данные.
Пока все эти возможности в вашем почтовом эккаунте не отключены - ВЫ УЯЗВИМЫ.

копирайт
Опубликовано: 10 января 2008г., 09:42. Отредактировано: 10 января 2008г., 09:42.
Главная ПреступленияКак украсть пароль от почты на майл.ру




Комментарии (80)
  • аватарка
    много неинтересных букв
    80
    ABRICOS78 2018-11-05 19:19
  • аватарка
    кто сейчас майлом пользуется?
    79
    ABRICOS78 2016-11-04 00:01
  • аватар-заглушка
    *Предлагаем вашему вниманию профессиональный взлом.
    - Вы хотите проверить партнера по бизнесу?
    - Свою вторую половинку?
    - Мы поможем вам это узнать!
    ** Гарантированно Вскроем Различные соц.сети.
    ** Так же вскрываем почту на различных доменах.
    *Полная анонимность! Оплата после взлома и доказательств взлома! Жертва не узнает о взломе пока аккаунт у нас! Постоянным клиентам скидки!
    * Для заказа обращаться к нам в аську ICQ 9989898
    78
    ZigaHack 2014-10-22 14:39
  • аватар-заглушка
    *Предлагаем вашему вниманию профессиональный взлом.
    - Вы хотите проверить партнера по бизнесу?
    - Свою вторую половинку?
    - Или вы просто сами позабыли пароль?
    - Мы поможем вам это узнать!
    ** Гарантированно Вскроем Различные соц.сети:
    ** Так же вскрываем почту на различных доменах : MAIL, YANDEX, GMAIL и так далее.
    *Полная анонимность! Оплата после взлома и доказательств взлома! Жертва не узнает о взломе пока аккаунт у нас! Постоянным клиентам скидки!
    * Для заказа обращаться к нам в
    77
    ZigaHack 2014-10-22 14:38
  • аватар-заглушка
    *Предлагаем вашему вниманию профессиональный взлом.
    - Вы хотите проверить партнера по бизнесу?
    - Свою вторую половинку?
    - Или вы просто сами позабыли пароль?
    - Мы поможем вам это узнать!
    ** Гарантированно Вскроем Различные соц.сети:
    - 1.Страницу в Однокласниках
    - 2.Страницу Вконтакте и много других различных сайтов знакомств!
    ** Так же вскрываем почту на различных доменах : MAIL, YANDEX, GMAIL и так далее.
    *ICQ и Много различных сервисов.
    - Также аккаунты разных Онлайн игр!
    76
    ZigaHack 2014-10-22 14:38
  • аватарка
    фпесду этот бред
    75
    Написал нимнога букаф ganni4 2013-01-09 05:24
  • аватарка
    заебался читать
    74
    Написал и забыл sasha431785 2011-11-13 01:08
  • аватарка
    О как
    73
    little_reptile 2010-10-27 01:21
  • аватарка
    старьё ужо..
    72
    chvs 2010-01-15 20:03
  • аватарка
    спиздим всё
    71
    Написал и похь Disel76 2009-11-26 22:32
  • аватарка
    попробуем=)))
    70
    Жырный поезд 2009-11-01 14:25
  • аватар-заглушка
    ша попробуем
    69
    Comablack666 2009-09-06 16:05
  • аватарка
    админ хуй там -бесполезняк, ставить сиськи для тебя самое лучшее на шото спасобен
    68
    Сан-Саныч 2009-08-12 20:44
  • аватарка
    Спасиб,щя к кому-нибудь залезу!
    67
    ВОРОН999 2009-04-10 22:07
  • аватарка
    здорово! вот бы ящик на яндексе так же... а то пароль не помню...
    66
    Sigrlin 2009-03-19 17:46
  • аватарка
    вот пля!!!
    65
    Алена_Фро 2009-02-19 23:19
  • аватарка
    И чё работает?
    64
    Написал казахский юртамэн robocop 2008-10-07 23:35
  • аватарка
    большое спасибо автору
    63
    woldemortishe 2008-09-10 15:44
  • аватар-заглушка
    Автар маладэц!!! Темка интересная...
    62
    Iv@n 2008-08-26 19:42
  • аватарка
    лучша брутить асики
    61
    Написал ч? Booblik 2008-08-16 00:18
  • аватарка
    ломал
    60
    Написал ч? Booblik 2008-08-16 00:18
  • аватарка
    старо
    59
    Написал ч? Booblik 2008-08-16 00:17
  • аватар-заглушка
    пасибо!
    58
    sergey2588 2008-08-12 14:58
  • аватарка
    вот же блядь, шпионы
    57
    Джонни Уокер 2008-08-02 21:12
  • аватарка
    а нах он нужин та , ни пайму
    56
    Написал и укантрапупел kondor888 2008-07-25 21:05
  • аватар-заглушка
    спс за инфу +
    55
    stafman 2008-07-09 11:42
  • аватар-заглушка
    Да mail.ru уже давно спалился на всём, что только можно!!!! Один спам чего стоит!!!
    54
    Kostas Chel 2008-07-08 19:04
  • аватарка
    мля
    53
    PAZITIV 2008-07-06 12:00
  • аватарка
    много букафф
    52
    Написал и укантрапупел kondor888 2008-06-25 20:21
  • Пикча незарегистрированного пользователя
    скоро лазейка закроеться
    51
    Написал и укантрапупел Павел
  • аватарка
    или рамблером
    50
    13bsv 2008-06-08 20:09
  • аватар-заглушка
    на заметку
    49
    Написало котэ k&k 2008-06-06 02:25
  • аватарка
    ничего не поняла
    48
    drel 2008-06-02 02:33
  • аватар-заглушка
    Спасибо
    47
    Alexeii 2008-05-30 11:26
  • аватарка
    много букоф, ф печь
    46
    Синий Пипел 2008-05-29 21:16
  • аватар-заглушка
    спасибо
    45
    Yali 2008-05-29 14:48
  • аватар-заглушка
    дибилизм
    44
    g0rky 2008-05-20 14:14
  • аватарка
    маил ру хрень а не почта регайтесь на Yahoo
    43
    PITONMAN 2008-05-14 18:29
  • аватар-заглушка
    Пасиба) Пошла выполнять рекомендации)
    42
    NAF 2008-04-21 16:34
  • аватарка
    пользуюсь другим ящиком
    41
    K.Dmitry 2008-04-17 08:21
  • аватар-заглушка
    не понял!
    40
    акбар 2008-04-10 09:28
  • аватарка
    папробую
    39
    Оккулист 2008-04-08 20:48
  • аватарка
    ><AKEP
    38
    maxik356 2008-04-08 00:02
  • аватар-заглушка
    ывапи
    37
    сенч 2008-04-06 21:11
  • Пикча незарегистрированного пользователя
    Если отключить все галочки в М-Агенте и поменять анкетные данные - от этого не будет абсолютно никакой пользы)) Все анкетные данные отображаются в проекте Мой мир@mail.ru
    36
    Sirena
  • аватар-заглушка
    Не выходит!!Эпидерсия какаято!!!
    35
    Lost 2008-04-04 03:52
  • аватарка
    Ага
    34
    Босяк 2008-03-28 23:28
  • аватарка
    Опять Был))))))))))))))
    33
    Написал и молодец - ko3ten 2008-03-21 19:47
  • аватарка
    Да не может быть так
    32
    Pevnusha 2008-03-18 10:59
  • Пикча незарегистрированного пользователя
    Я охуеваю над вами ,господа,Вам делать нехуй.
    Вы ещё у админов маиловских спросите, они вам более подробную инструкцию дадут!
    31
    вася огурцов
  • Пикча незарегистрированного пользователя
    Очередная подъеботина
    30
    вввшьщт
  • Пикча незарегистрированного пользователя
    Очередная подъеботина
    29
    вввшьщт
  • Пикча незарегистрированного пользователя
    Очередная подъеботина
    28
    dddimon
  • аватарка
    что то не получилось ))))
    27
    О-Фея-Ли-Я 2008-03-04 15:30
  • аватар-заглушка
    Развод для лохов!!И Чайников!
    26
    _Motr@_ 2008-03-02 11:33
  • аватарка
    был)))))
    25
    Написал и молодец - ko3ten 2008-02-20 07:15
  • аватарка
    Да забавненько.......
    24
    pro100ya 2008-01-23 22:33
  • аватарка
    x
    23
    shultz 2008-01-11 12:03
  • аватарка
    хнрня
    22
    Канабисик 2008-01-11 04:04
  • аватар-заглушка
    Вот так начинается хакерство и заканчивается юзерство
    21
    обыватель 2008-01-10 22:02
  • Пикча незарегистрированного пользователя
    Народ помогите ящик вскрыть?
    20
    Clide
  • аватарка
    пиздецы!!!
    19
    nachalnik 2008-01-10 18:56
  • Пикча незарегистрированного пользователя
    БОЯНИЩЕ!!!!!!!
    18
    hiller36
  • аватар-заглушка
    хуйня. кто не знал?
    17
    AntiPetya 2008-01-10 15:47
  • аватар-заглушка
    сцуки сцуки
    16
    sagro 2008-01-10 14:59
  • Пикча незарегистрированного пользователя
    "и сейчас Агент ставят в основном подростки да прочие чайники..." БУГАГА!!! это у чайников угоняют почту и жеже одновременно, тем более таким нелепым способом, который описан выше ))
    15
    Аффтар - ЛОХ
  • аватар-заглушка
    интересное инфо
    14
    стасон 2008-01-10 12:12
  • аватарка
    цуцуцу
    13
    Канабисик 2008-01-10 12:06
  • Пикча незарегистрированного пользователя
    ща попробую ломать всех
    12
    урыч
  • аватарка
    ломаем все
    11
    mamin 2008-01-10 11:55
  • аватар-заглушка
    Пользуйтесь яндексом..
    10
    Окорочек 2008-01-10 10:23
  • аватарка
    magogg
    как сам?
    9
    ALTER 2008-01-10 10:07
  • аватарка
    наканецта сиське прапале....адна маленькайа апирация
    и сатруднеги гинеса ваме ужо неинтирисуюцо
    8
    Написал под дверь директару magogg 2008-01-10 10:04
  • аватарка
    какайа умнайа мысля....
    7
    Написал под дверь директару magogg 2008-01-10 09:58
  • аватарка
    гашек сушит
    6
    ALTER 2008-01-10 09:55
  • аватарка
    сцукован
    5
    ALTER 2008-01-10 09:53
  • аватарка
    3
    4
    ALTER 2008-01-10 09:53
  • аватарка
    третим буду
    3
    Написал херню commag 2008-01-10 09:53
  • аватарка
    2
    2
    Написал под дверь директару magogg 2008-01-10 09:51
  • аватарка
    1-й!
    1
    Написал кое как Sashiki 2008-01-10 09:44
Дезинфо.нет: телепорт в мир девушек, приколов, шуток и юмора.
Гламурный развлекательный блог. Девушки любят, мужики одобряют.