Глупые ошибки ICQ

Discussion in 'Skype, IRC, ICQ, Jabber и другие IM' started by alkos, 27 Apr 2013.

  1. alkos

    alkos Moderator

    Joined:
    28 Mar 2007
    Messages:
    1,149
    Likes Received:
    292
    Reputations:
    271
    Хочу рассказать об одном забавном и в то же время серьезном баге в сервисе ICQ, который недавно был закрыт (окончательно ли?). Как долго он существовал, я не знаю, но прикрыли лавочку только 8 апреля, спустя 4 дня после запрета на смену паролей и аттачей на пяти- и шестизнаках.

    Допустим у нас есть номер А - шестизнак с привязанной почтой, и номер Б - кривая девятка тоже с привязанной почтой.

    1. Сперва авторизуемся на сайте с номера Б (девятизнака).

    2. Теперь заглянем в cookie и найдем параметр karma_login. Его значение равно непосредственно номеру ICQ, с которого мы авторизовались. Изменим это значение на номер шестизнака А.

    [​IMG]

    3. Меняем аттач от номера. Вводим новую почту, и пароль от номера Б (с которого авторизовались). На почту придет ссылка с подтверждением перевязки. Если по ней проследовать, то номер Б перевяжется, тут все стандартно. Однако нас интересует не это! На старую почту должен прийти "роллбэк" - письмо с отменой привязки новой почты. Так вот роллбэк приходит на почту уина А!

    [​IMG]

    4. Проходим по ссылке в письме с отменой привязки и меняем пароль на шестизнаке.

    Таким образом можно было менять пароли на шестизнаках-аттачах еще некоторе время после введения запрета на сайте ICQ администрацией. =)

    З.Ы. Другой трюк заключался в том, что на старую почту уина Б не приходит никаких подтверждений! А значит, проводя все вышеописанные операции с номерами А и Б в обратном порядке (авторизоваться с шестизнака, сменить куки на девятизнак), можно было перевязать аттач на другое мыло без прихода письма подтверждения! Таким образом злоумышленник мог сбрутить хороший номер и перевязать его, не оставив шансов на возврат у владельца.

    З.Ы.Ы. Подмена karma_login позволяла делать еще много чего, в частности можно было смотреть полный список друзей подмененного уина. :)
     
    _________________________
    3 people like this.
  2. dlavager

    dlavager Banned

    Joined:
    1 Feb 2013
    Messages:
    162
    Likes Received:
    13
    Reputations:
    1
    я так не думаю что умер брут.
    брут как раз то и работает,только не брутятся 5 знаки может быть и так
     
  3. Shawn1x

    Shawn1x Banned

    Joined:
    24 Aug 2007
    Messages:
    299
    Likes Received:
    467
    Reputations:
    -18
    они уже 100лет не брутяца
    :D
     
  4. kerchi

    kerchi Banned

    Joined:
    11 May 2013
    Messages:
    6
    Likes Received:
    1
    Reputations:
    3
    давай подумаем об этом. возможно это главный вопрос.
     
  5. Romaz

    Romaz Banned

    Joined:
    5 Sep 2010
    Messages:
    105
    Likes Received:
    13
    Reputations:
    8
    Откуда они тогда берутся в продаже?
     
  6. alkos

    alkos Moderator

    Joined:
    28 Mar 2007
    Messages:
    1,149
    Likes Received:
    292
    Reputations:
    271
    Всё брутится: и элита, и 5знаки, и 6знаки.
     
    _________________________
  7. Shawn1x

    Shawn1x Banned

    Joined:
    24 Aug 2007
    Messages:
    299
    Likes Received:
    467
    Reputations:
    -18
    Ну а где пруфы? кто сбрутил за последние 4 года хоть один 5тизнак? :)
     
  8. alkos

    alkos Moderator

    Joined:
    28 Mar 2007
    Messages:
    1,149
    Likes Received:
    292
    Reputations:
    271
    _________________________
    1 person likes this.
  9. Owned777

    Owned777 New Member

    Joined:
    19 Aug 2012
    Messages:
    0
    Likes Received:
    0
    Reputations:
    0
    Много продавцов видел которые банчили 5 знаками.
     
  10. alkos

    alkos Moderator

    Joined:
    28 Mar 2007
    Messages:
    1,149
    Likes Received:
    292
    Reputations:
    271
    Баг пофиксен.
     
    _________________________
  11. Splat96

    Splat96 Banned

    Joined:
    29 Nov 2012
    Messages:
    0
    Likes Received:
    0
    Reputations:
    0
    Друг при мне сбрутил один пятизнак, это для тех кто думает что это мифы..
     
Loading...