Как взломать почту?

Не важно по каким причинам, у вас появилась необходимость взломать почту. Не будем размазывать сопливый текст забитыми фразами о том, что, возможно, вам нужно узнать. изменяет ли вам вторая половинка или что нибудь типа планов конкурентов по бизнессу. Нам абсолютно все равно. Если вы хотите получить результат в короткие сроки, качественно выполненную работу, закажите взлом почтового ящика у профессионалов.

Допустим, ящик, пароль которого вы хотите получить, находится на сервисе mail.ru. Отметим, что ящики вида @bk.ru, @list.ru, @inbox.ru так же относятся к сервису mail.ru.

Итак, вам известен логин ящика. С чего начать?

Для начала стоит проверить, существует ли вообще этот ящик, а так же используется ли он.

Есть два способа:

Первый — забиваем почту в «Добавить контакт» в программе Mail.ru Агент, если почта существует, мы увидим регистрационные данные владельца ящика — Имя, Фамилию, псевдоним, дату рождения, страну, город. Mail.ru любезно предоставляет нам эти данные без всяких ограничений (обратите на это внимание при регистрации собственной почты).

Эта информация отображается не всегда, т.к. может быть скрыта владельцем аккаунта настройками безопасности, но по умолчанию информация является открытой. Первое, что стоит сделать, попробовать в качестве пароля дату рождения владельца ящика. На сегодняшний день комбинация пароля из даты рождения встречается реже, чем несколько лет назад (это связано с вводом запрета на установку простых паролей при регистрации на mail.ru), но все же используется значительным числом пользователей почты. Попробовать подобрать пароль к почте можно несколькими комбинациями. Например, указана дата рождения 14 декабря 1985. Пробуем авторизоваться под следующими комбинациями паролей: 14121985, 141285, 14.12.85, 14.12.1985, 14/12/1985 и т.д. Хоть и не большой, но шанс есть.

e.mail.ru/cgi-bin/passremind и вводим требуемый логин. Если система предлагает нам ответить на секретный вопрос, и поле для ввода ответа доступно, это значит, что в последние 3 суток ящик не посещался. Все же, это еще не значит, что ящик вовсе заброшен, может владелец уехал на трехдневный пикник и ему не до почты сейчас.

Если ящик посещался за последние три дня, то мы увидим об этом уведомление, вместо предложения ответить на секретный вопрос. Взлом пароля почты через секретный вопрос мы не будем рассматривать, т.к. тут все понятно — вспоминаем, как зовут собаку этого человека, крадем его документы, что бы выяснить номер паспорта или девичью фамилию матери. Это варварский метод, т.к. пароль на ящике изменится и хозяин почты, естественно, поймет, что у него взломали почту. Наша цель — взломать пароль на почте не меняя пароль, т.е. получить пароль электронной почты, которым пользуется ее владелец.

Итак, нам известно, что на почту заходят хотя бы изредка.

Рассмотрим актуальные на сегодняшний день способы взлома почты .

Взлом почты фишингом. Самый действенный способ узнать пароль электронной почты — это фишинг (phishing). Это вид мошенничества в сети интернет, целью которого является выудить из пользователя необходимую конфиденциальную информацию, в нашем случае логин и пароль почтового ящика. При фишинговой атаке пользователь попадает обманнным путем на фейковую (поддельную) страницу, своим внешним видом полностью идентичную странице авторизации в почте. Как только пользователь вводит пароль на этой странице, данные тут же пересылаются в нашу базу. Сделать такую страницу не составляет труда, достаточно сохранить на свой хостинг оригинал страницы авторизации почтового сервиса и модифицировать форму обработки вводимых на странице данных.

Почти всегда фишинг используется совместно с методом социальной инженерии. Ведь, что бы пользователь попал на фейковую страницу и ввел там данные, его нужно на нее заманить, естественно, обманным путем. Социальная инженерия подразумевает под собой психологическую атаку на пользователя компьютера, владельца почтового ящика. Например, человек получает письмо от службы поддержки почтовой системы с информацией о том, что его почта заблокирована по неким причинам (поступили жалобы на спам, неправомерные действия, закончилось место для хранения файлов и т.д.). Психологически грамотно составленный текст, расстановка слов, постановка фраз, поставленные в нужном месте логотипы и прочие моменты могут ввести даже опытного пользователя в заблуждение и навести на него панику, и он не задумываясь кликнет по ссылке в письме, что бы избежать, как ему кажется, потери или блокировки почтового ящика. И вот, пользователь уже фейковой странице вводит свой пароль. После, нужно успокоить пользователя и показать ему сообщение, что теперь все в порядке, почту никто удалять не будет, и можно спокойно дальше ею пользоваться.

Конечно, на такие письма уже «клюют» далеко не все пользователи, т.к. за последние годы подобного рода метод обмана широко использовался для взлома аккаунтов. Почтовые сервисы предупреждают своих пользователей, о подобных приемах, да и с развитием интернета люди становятся более грамотны и осведомлены об основах сетевой безопасности.

Однако, всегда можно найти способ усыпить бдительность и отвлечь юзера. Фишинговую ссылку можно замаскировать под письмо от сервиса, который часто используется человеком, или сделать письмо полностью идентичное письму, к которому якобы прикреплены документы, файлы, изображения. Кликая на прикрепленный документ пользователь попадает на фейковую страницу, где сообщается об обрыве сессии, необходимости авторизоваться повторно для скачивания документов.

Главное, что бы все элементы атаки были максимально похожи на настоящие, ничем не отличающиеся письмо и страницы авторизации от оригинальных, выглядели правдиво, не вызывали подозрений. Важно, что бы после ввода пароля пользователь получил то, чего он ждал, а именно получил возможность скачать эти самые документы, или попал на страницу сайта, от которого получил письмо, а потом закрыл его и продолжил заниматься своими делами.

Это все теория. Рассмотрим подробнее, как взломать почту на майле или яндексе с помощью фишинга.

Для начала нам нужен свой хостинг и домен. Хостинг можно купить самый дешевый за 50-100 рублей, главное что бы он поддерживал php. Домен нужно подобрать внешне похожий на

адрес, атакуемой почтовой системы. Если мы хотим взломать mail ru почту, то нужен будет домен, похожий на адрес e.mail.ru, например, e.rnail.ru, e.mail-login.ru.

Что бы взломать яндекс почту нужен будет домен, похожий на адрес яндекса, соответственно.

Далее нужно залить на хостинг готовую фейковую страницу. Можно сделать ее самому или найти уже готовый фейк на хакерских форумах.

Теперь нам потребуется скрипт анонимной отправки почты, что бы отправить письмо от службы поддержки или от любого пользователя. Письмо нужно составить без грамматических ошибок и максимально похожее на настоящее, разместить ссылку на фейк спрятав ее под тегом «a href», выдав за настоящую. Отправить письмо и ждать, когда пользователь прочитает.

Все вышеописанное, конечно, приводится в общих чертах, ведь, что бы выполнить взлом пароля почты майл ру, яндекс и любой другой, нужно провести аудит почтовой системы, найти уязвимые моменты в безопасности сервиса, что бы наше письмо не попало в папку «спам», не было отфильтровано, правильно отображалось в ящике. Почтовые сервисы активно борятся с фишингом и всячески препятствуют рассылке подобных писем, предупреждают пользователя о переходе по замаскированным ссылкам, блокируют содержимое писем. Если у вас нет времени или возможности изучать эти моменты, искать методы обхода, заказать взлом почты лучше компетентным специалистам, которые анонимно и без следов выполнят взлом.

Взлом почты с помощью xss.

Xss расшифровывается, как Сross Site Sсriрting — «межсайтинговый скриптинг». Суть атаки заключается во внедрении в выдаваемую пользователю страницу вредоносного кода, который выполнит указанные нами действия. Xss это уязвимость в коде почтовой системы, позволяющая запустить и выполнить java script код. С помощью него мы можем получить сессию авторизованного пользователя, а именно cookies файлы, в которых содержится информация, воспользовавшись которой можно попасть в почту даже не имея пароль на ящик. Это возможно только, если почту проверяют через браузер. При авторизации в почтовом ящике, сервером генерируются cookies файлы, которые хранятся в браузере, давая ему понять, что мы авторизованы в почте, и браузер не запрашивает пароль при открытии каждой следующей страницы или письма в почтовом ящике. Получив эти файлы, и подменив их в своем браузере мы можем попасть в почту жертвы, как будто мы в ней уже авторизованы, хоть и пароля у нас нет.

Существует два типа xss атак — пассивные (отраженные) xss и активные (устойчивые, хранимые) xss.

Пассивная xss срабатывает, когда пользователь кликает на специально сфабрикованную ссылку, например старая xss на mail.ru

wap.lordmancer.mail.ru/index.php?p='>

т.е. кликнув по такой ссылке, пользователь увидит всплывающее окно с надписью ATTACK. Это пример выполненного java script кода. Вместо этой надписи, мы можем выполнить код и украсть cookies session (Mpop) пользователя.

Активная xss может храниться на уязвимой странице сайта и срабатывать каждый раз, когда пользователь посещает эту страницу. В случае электронной почты активные xss несут в себе большую угрозу для безопасности пользователя и большие преимущества для атакующего. Если выполнить xss scipt в письме, то для угона cookies нам будет достаточно, что бы пользователь просто открыл наше письмо в браузере и ничего больше. Подобная уязвимость дает большой простор для действий хакера, взломать почту даже очень осторожного и опытного пользователя становится в разы проще. Можно запустить скрипт, который при открытии письма выдаст пользователю сразу нашу фейковую страницу авторизации, причем адрес в адресной строке будет настоящий, а страница поддельная. Активные xss в почтовых сервисах встречаются не часто и являются крайне ценными уязвимостями, поэтому обнаружить их довольно таки сложно. Почтовые сервисы устанавливают фильтры, запрещающие выполнении любого java кода в теле письма, суть активки заключается в обходе этого фильтра.

3. Взлом почты брутом (брутфорс, bruteforce)

Суть метода в том, что бы подобрать пароль к почте. Метод перебора («грубой силы»). Для атаки используется специальная программа для взлома почты — брутфорс. Программа использует заранее подготовленный вами словарь слов, цифр, сочетаний, вообщем словарь паролей. Программа берет каждый пароль из словаря и пробует авторизоваться с этим паролем в заданный почтовый ящик. Данный метод становится менее результативен и популярен всвязи с запретом почтовыми сервисами устанавливать на электронную почту простой пароль. Такие пароли, как qwerty, sanek123, даты рождения и подобные легко подобрать брутфорсом, т.к. такие сочетания в паролях легко запоминаются пользователем и являются очень популярными паролями, их легко взломать. Такой пароль, как SanEk03n подобрать брутфорсом нереально, т.к. используется случайное сочетание верхнего и нижнего регистра букв, а так же случайные цифры, такого пароля просто не может быть в словаре.

Еще одной серьезной сложностью для осуществления атаки брутом является запрет почтовых сервисов на множественные попытки авторизации одного и того же аккаунта или с одного IP адреса. Т.е. например, после 10-20 попыток залогиниться с разными паролями, почтовые сервис забанит ваш IP, или будет выдавать капчу (captcha), картинку, содержимое, которой нужно будет вводить в специалное поле при следующей попытке авторизации. Для избежания бана по IP адресу при бруте почты часто используют большой список прокси (proxy) серверов, в некоторых случаях это помогает решить проблему бана, однако брут почты отслеживается и присекается службой безопасности почтового сервиса, атакуемый ящик могут заблокировать или, опять же, может появляться капча.

Однако, все равно можно найти способ как взломать почту методом перебора пароля. Найти уязвимость в авторизации почтового сервера на сегодняшний день вполне реально, найденные ошибки в безопасности позволяют успешно и быстро выполнить взлом почты майл или майл ру брутфорсом, даже без использования прокси. Взломать яндекс почту методом перебора сложнее, чем маил, без прокси не обойтись.

Способ взлома почты брутом является эффективным, в случае, если почтовый ящик заброшен владельцем, и нет возможности выполнить фишинговую или xss атаку. Но, если пароль сложный, вероятность вскрыть пароль почтового ящика сводится к нулю.

Как взломать почту. 8 комментариев

Источник: mailru.cc

Категория: Безопасность

Похожие статьи: