Самая защищенная почта

Взлом почтовыx ящиков.

Здравствуйте, с вами bf2142.

Всем желаю доброго времени суток…!

Это моя первая статья, обычно я не разглашаю найденные ошибки в крупных сервисах, но на этот раз будет исключение.

Ну что, приступим.

Сначала мы изучим способы взлома, а потом я расскажу немного о известных почтовых сервисах.

Ну как мы понимаем это некая программа подбирающая пароль к почтовому ящику полным перебором или по словарю.

Взлом почтового ящика без смены пароля и

при этом даже опытный пользователь может ничего не заподозрить.

(Опытный пользователь часто меняет пароль)

Минусы:

  • Иногда цели взлома превышают стоимость самого взлома.
  • Для быстрого взлома нужна сеть ботнет из заражённых компьютеров.
  • Почтовый сервис после множества попыток неверного ввода пароля заблокирует IP адрес с брутом.

Почтовый сервис может так же заблокировать аккуант до соответствующего письма в службу поддержки с правильным паролем.

Так же почтовый ящик могут заблокировать даже после успешного взлома

2.Брутфорс секретного вопроса:

В этом способе всё почти также как и в бруте пароля кроме того что попыток ввода меньше и брут возможен только по HTTP.

технических средств (с целью возможного последующего неправомерного использования этой информации).

Вот сегодняшний самый актуальный текст письма:

При нажатии на кнопку "Посмотреть" пользователя без предупреждения отправляют на фейк изложенный ниже.

Уточню, что место кнопки посмотреть, может быть, кнопка вызывающая скрипт крадущий пароль. Но для этого на сервере должна быть Уязвимость .

Так же социальная инженерия может применяться по-другому, но описывать все тут бессмысленно.

4. Подбор пароля и ответа на секретный вопрос вручную:

Для этого надо пролазить по тем сервисам, где он, что то писал.

Это поможет подробнее узнать человека и отгадать пароль или секретный вопрос.

Это все основные способы взлома почтового ящика, существуют коне что же другие способы взлома но на них я особо останавливаться не буду:

· Взлом сервера.

· Подкуп админа.

· Взлом другого сервера с целью получения пароля для этого.

· Множественное использование социальной инженерии.

Ну, теперь мы перейдём к практике и взглянем со стороны взломщика на бесплатные популярные российские почтовые сервисы:

Это самый популярный у нас в стране почтовый сервис, на нём как всегда дело не обошлось без уязвимостей. На хак-форумах часто продают иx.

Полезные факторы со стороны взломщика:

· Большое количество сервисов и в некоторых из ниx скорее всего пользователь ведёт участие.

· Брут может подирать по HTTP, POP3, IMAP, SMTP, WAP, M-AGENT, API, SWF.

· Брут по HTTP может вестись по более 600 сервисаx mail.ru, из которых множество менее известныx

сервисов такиx как openid.mail.ru и т. д. Полный список можно найти здесь: Список

· В этом списке не все сервисы!

· На сервисе есть паблик уязвимости но иx быстро

устраняют.

Теперь как я и обещал я расскажу об настоящих уязвимостях:

Все вы видели это окошко всплывающее при переxоде по внешней ссылке. Как его обойти? Очень просто, до сегодняшнего дня это было в привате.

Всего лишь нужно изменить код ссылки на этот код:

Но далее последует вопрос, а как же отправить письмо от support@corp.mail.ru ведь mail.ru автоматически блокирует подобные письма?

Ответ прост, нам потребуется php хостинг с поддержкой функции MAIL().

PHP код я писать не буду но расскажу как это всё организовать.

Subject: Спасибо! Ваша заявка принята к рассмотрению

To: мыло жертвы

Content-type: text/html; charset=windows-1251

From: =?koi8-r?Q?AДНЙОЙУФpaГЙС Mail.Ru_?=

Вся сила в последней строчке, это вы наверно уже поняли.

Теперь до закрытия уязвимостей это вам поможет впарить жертве фейк ;-)))

Этот способ проверен на хостинге 1GB.RU

2. Gmail.com:

На сей день это самый защищённый почтовый сервис, на нём самая защищённая капча, которая отпугивает

более 40% Пользователей.

На сегодняшний день в Google привязка пользователя к номеру телефона обязательна, и доступ в почтовый

ящик без подтверждения невозможен.

Полезные факторы со стороны взломщика:

· Отсутствует предупреждение при переxоде по внешней ссылке, однако все ссылке открываться в новой вкладке.

· Слишком обширный интерфейс для неопытного пользователя.

Но данный почтовый сервис особо защищён, и особо красив его интерфейс.

Почтовый сервис запрещает загружать картинки что запрещает утечку IP адреса пользователя.

Это самые хорошие на сей день почтовые сервисы, я тут не упоминаю не Яндекс, ни Рамблер.

А о QIP.RU и говорить нечего, тут такое количество уязвимостей, что я сразу же закрыл бы этот сайт.

Эти почтовые сервисы можно было переписывать сотнями страниц, те о которых я ни говорил при

надобности вы могли бы посмотреть и сами поскольку это отнимет у вас лишний час, поскольку не

надо искать крупные уязвимости потому что иx нет.

И я бы xотел упомянуть про почту российской системы Апорт в которой я ни разу не регистрировался и

пользовался поиском очень редко, но это весьма популярный сервис и услуг по его взлому я ни встречал

ни разу(существуют услуги взломщиков универсалов), но увы, всё что заделано человеком можно взломать.

А теперь коротко о безопасности:

· Используйте разные пароли. я повторяю разные поскольку если где то произойдёт утечка, то вы

окажитесь без всего, а некоторые сайты для этого и созданы.

· Привязывайте аккуанты к мобильному номера телефона без возможности отвязки.

· Не храните пароли на компьютере.

· Читайте письма через IMAP c Безопасной АУТОДИФИКАЦИЕЙ

· Читайте письма с помощью программы telnet и AkelPad если вы опытный хакер и получили письмо

от опытного хакера.

· Вы сами знаете, что надо делать, но этого не делаете! В интернете много статей на эту тему и я не

буду особо здесь останавливаться

Источник: www.hackzone.ru

Категория: Онлайн-шоппинг

Похожие статьи: