ICQ में भेद्यता सेवा के माध्यम से प्रेषित फाइलों के संग्रह तक पहुंच की अनुमति देता है

एक बार लोकप्रिय आईसीक्यू मैसेजिंग सेवा के Mail.ru द्वारा अधिग्रहण के बाद, मैसेंजर उपयोगकर्ताओं के बीच फ़ाइलों को स्थानांतरित करने का तरीका बदल गया था। यदि पहले फ़ाइलें सीधे प्रेषक और प्राप्तकर्ता के बीच भेजी जाती थीं, तो अब प्रेषक कंपनी के सर्वर पर फ़ाइल अपलोड करता है, और प्राप्तकर्ता इसे एक सार्वजनिक लिंक के माध्यम से डाउनलोड करता है। फ़ाइल का लिंक http://files.icq.net/files/get?fileId=XXXXXX की तरह दिखता है और सर्वर पर अपलोड की गई फ़ाइल तक पहुंच प्राप्त करने के लिए, आपको केवल इसे जानना होगा, क्योंकि फ़ाइल तक पहुंच को सीमित करने के लिए कोई उपाय नहीं किए जाते हैं। चूंकि लिंक के गतिशील रूप से उत्पन्न भाग में केवल छह वर्ण (ऊपरी मामले में संख्याएं या अंग्रेजी अक्षर) होते हैं, इसलिए यह ब्रूट बल द्वारा हाल ही में आईसीक्यू के माध्यम से स्थानांतरित की गई फ़ाइलों के पूरे संग्रह तक पहुंच प्राप्त करना संभव बनाता है। यह गणना करना आसान है कि सिर्फ दो बिलियन से अधिक संयोजन इस तरह से उपलब्ध हैं।

Ntv ब्लॉगर ने LiveJournal वेबसाइट पर अपनी डायरी में पता लगाए गए डेटा लीक के बारे में लिखा था । जैसा कि उनके पृष्ठ पर उल्लेख किया गया है, जावा भाषा में एक कार्यक्रम आज इंटरनेट पर दिखाई दिया है जो पाया गया भेद्यता का उपयोग करता है और बेतरतीब ढंग से निर्दिष्ट प्रारूप में लिंक उत्पन्न करता है, जिसके बाद यह परिणामस्वरूप लिंक से फ़ाइलों को डाउनलोड करने का प्रयास करता है। यह चल रहे प्रोग्राम के लॉग से देखा जा सकता है कि अधिकांश जेनरेट किए गए लिंक सर्वर पर किसी भी फाइल के अनुरूप नहीं हैं, कुछ लिंक सर्वर की बहुत बड़ी छवियों या फ़ाइलों को ले जाते हैं, जो सर्वर नहीं देता है, लेकिन कुछ लिंक किसी के पहले अपलोड किए गए व्यक्तिगत फोटो को ICQ के माध्यम से वापस करते हैं। और चित्र।



सर्वर से प्राप्त छवियों के बीच, आप पासपोर्ट और दस्तावेजों के स्कैन, वीडियो गेम के स्क्रीनशॉट और नग्नता की शूटिंग के फोटो पा सकते हैं, लेकिन बिल्लियों भी हैं। मुझे लगता है कि संग्रह से तस्वीरों में कोई भी व्यक्ति खुद को या अपने रिश्तेदारों को नहीं पहचान पाएगा। यह सुझाव देने योग्य है कि प्राप्त छवियों का एक पूरा संग्रह जल्द ही टॉरेंट के माध्यम से उपलब्ध होगा।

जैसा कि ntv ब्लॉगर नोट करता है, QIP मैसेंजर भी इस भेद्यता के लिए अतिसंवेदनशील है, हालांकि, लिंक इसमें लंबे समय तक हैं, जिसका अर्थ है कि वे गणना के लिए अधिक प्रतिरोधी हैं। हम ध्यान दें कि लगभग दो साल पहले, एक iPhone के लिए क्विप फोटो एप्लिकेशन के माध्यम से प्रेषित छवियों के संग्रह तक पहुंच प्राप्त करने के लिए एक समान भेद्यता का उपयोग किया गया था । जैसा कि आप देख सकते हैं, Mail.ru प्रोग्रामर विशेष रूप से ऐसी खबरों का पालन नहीं करते हैं।

मुझे लगता है कि इस भेद्यता का उपयोग करके प्राप्त तस्वीरों में से एक वर्तमान स्थिति का सबसे अच्छा वर्णन करता है।



Upd। भेद्यता को सफलतापूर्वक पराजित किया गया था, उपयोग करने की कोशिश करते समय एक त्रुटि जारी की जाती है। जाहिर है, ICQ क्लाइंट में फ़ाइलों को स्थानांतरित करने की क्षमता को भी अक्षम कर दिया गया है।