ICQ, नई सुविधाएँ - नए छेद

नमस्कार, प्रिय मित्र, मैं आपको तुरंत मुझे क्षमा करने के लिए कहूंगा, क्योंकि मेरे लिए एक परिचय लिखना हमेशा मुश्किल होता है और इसलिए यह थोड़ा तरल होगा।

तो:

जैसा कि समय दिखाता है, ICQ में एक नए फ़ंक्शन की शुरुआत के साथ, एक नया सुरक्षा छेद खुलता है, कम से कम इस लेख को लें:

"Icq.com पृष्ठों पर HTML इंजेक्शन"

इसे एक आधार के रूप में लेते हुए, मैंने अपना शोध शुरू किया।

ICQ में नया क्या है?

चौकस उपयोगकर्ता आसानी से इस प्रश्न का उत्तर दे सकते हैं: "ICQ नंबर को अपने फ़ोन के मोबाइल नंबर पर बाँधना।"

लेकिन इस मामले में क्या कार्य दिखाई दिए:

- मोबाइल पर भेजे गए कोड के जरिए पासवर्ड रिकवरी।
- मोबाइल पर भेजे गए कोड के माध्यम से लॉगिन (आईसीक्यू में प्रवेश)।
- मोबाइल पर भेजे गए कोड के माध्यम से एक नए उपयोगकर्ता का पंजीकरण।

मैंने पासवर्ड रिकवरी के साथ कोर्स शुरू किया।

पासवर्ड रिकवरी पेज www.icq.com/password पर ICQ नंबर से जुड़े फोन नंबर दर्ज करते समय, हमें एक पेज दिखाई देता है, जिस पर हमें मोबाइल पर आए कोड को दर्ज करने के लिए कहा जाएगा, साथ ही एक नया पासवर्ड भी दिया जाएगा।

इस पृष्ठ का पता कुछ इस तरह है:

https://www.icq.com/password/resetcode/D5DCBDBAF629FE4A07FB8C790E9F9A6535A1FD2DCD78093E71C892844953EC82/ru 

यह लिंक लगभग 24 घंटे रहता है।

लिंक के सबसे महत्वपूर्ण टुकड़े में दो भाग होते हैं:

- पहला या तो एक एन्क्रिप्टेड सत्र है या स्वयं संख्या है:

  D5DCBDBAF629FE4A07FB8C790E9F9A65 

- दूसरा आम तौर पर समझ से बाहर है कि कुछ भी प्रभावित नहीं करता है। इस टुकड़े को अक्षरों और संख्याओं के किसी भी सेट से बदला जा सकता है, या सिर्फ छंटनी की जा सकती है:

  35A1FD2DCD78093E71C892844953EC82 

और अब इस तथ्य पर वापस जाएं कि लिंक एक दिन के बारे में रहता है ...

जब मोबाइल के माध्यम से पासवर्ड की वसूली होती है, तो हमें एक कोड प्राप्त होता है जिसमें FIVE DIGITS होता है!

पहले परीक्षणों से पता चला कि कोड दर्ज करने पर कोई प्रतिबंध नहीं था, लेकिन यह थोड़ा गलत था। जब आप गलत कोड दर्ज करते हैं, तो उत्तर पृष्ठ में एक अजीब घोंघे की तस्वीर होती है और शिलालेख "जिस लिंक का आप उपयोग कर रहे हैं वह पुराना है ..."



सही कोड दर्ज करते समय, प्रतिक्रिया पृष्ठ ने हमें सूचित किया कि पासवर्ड सफलतापूर्वक बदल दिया गया था:



ब्राउज़र में कोड को मैन्युअल रूप से दर्ज करना, प्रतिबंध को प्राप्त करना असंभव था, लेकिन इस प्रक्रिया को स्वचालित करके मैंने देखा कि प्रतिबंध पांच प्रयासों के बाद आया था, यह एक आईपी से कोड दर्ज करने पर प्रतिबंध था और लिंक मर नहीं गया था। स्नानघर में, उत्तर पृष्ठ पर एक गाय और शिलालेख था "दुर्भाग्य से, आप भी अक्सर एक ही कार्रवाई दोहराते हैं। इसे कम बार करने की कोशिश करें। ”



दो बार सोचने के बिना, मैं अपने दोस्त की ओर मुड़ गया और उसने सॉफ्टवेयर में इस भेद्यता को लागू किया, जिसे उसने प्यार से " 5digger " कहा, फिर आपको पता चलेगा कि क्यों ... सॉफ्टवेयर ने प्रॉक्सी के माध्यम से काम किया और इसलिए हम आईपी प्रतिबंध से डरते नहीं थे;)

इसलिए, हमारे पास एक बहुत ही गंभीर छेद है, लेकिन हम पीड़ित के फोन नंबर का पता कैसे लगाते हैं? इस पर, हमें अपने सिर को थोड़ा तोड़ना पड़ा।

प्रोग्राम जिसने हमें "जानकारी" से संख्याओं और सामग्रियों के डेटाबेस को इकट्ठा करने में मदद की, ने हमारी मदद की। इसे .fry द्वारा "ICQ खोज जानकारी" कहा जाता है । यह कार्यक्रम किसी तरह से मैंने मालिकों के फोन नंबर नहीं देखे, जो उन्होंने अपनी जानकारी में इंगित किए थे और जो डिफ़ॉल्ट रूप से छिपे हुए हैं।

हमने तुरंत पांच संकेतों को स्कैन करना शुरू कर दिया। नतीजतन, हमें एक छोटा सा यूएन मिला , फोन बेस। हमारे अफसोस के लिए, इसमें कचरे का एक गुच्छा, साथ ही मालिकों की वास्तविक संख्या भी शामिल थी, लेकिन साथ ही साथ उनके नए क्यू नंबर से बंधा नहीं था।

चूंकि हम आलसी लोग हैं, इसलिए मैंने एक ऐसे फॉर्म की तलाश शुरू की, जिसके माध्यम से आईसीक्यू में पंजीकरण के लिए संख्या की जांच करना संभव था। कोई फर्क नहीं पड़ता कि यह कितना तुच्छ था, ऐसा था पंजीकरण फॉर्म: www.icq.com/join/en

एक साधारण अनुरोध के साथ, मैं जल्दी से अपनी संख्या की जांच करने में सक्षम था:

 GET http://icq.com/join/send_sms_code/ru?msisdn=<phone> 

यदि सर्वर आइकॉन में अपंजीकृत है तो सर्वर प्रतिक्रिया में वर्णों का ऐसा सेट होता है:

 "status":200,"statusText":"Ok" 

एक 100% वैध यूएन प्राप्त किया , फोन बेस , मैं काम करने के लिए सेट। शुरुआत करने के लिए, मैंने रूसी संख्याओं वाली सभी पंक्तियों को हटा दिया, अर्थात्, जिनके साथ शुरुआत हुई (+7)

पीड़ित पूर्व ICQ प्रशंसक थे और उनके दोस्तों के फोन नंबर (+9725) के साथ शुरू हुए, साथ ही सिर्फ अज्ञात विदेशियों की संख्या के साथ, मैं यह नोट करना चाहता हूं कि मूल डेटाबेस में 10 से कम लाइनें शामिल थीं ...

जैसे ही हमने पहले एडमिन नंबर पर पासवर्ड बदला, जो Avi Zrachya था (यह इज़राइल का पूर्व ICQ एडमिन है), अर्थात् 34567, हमने देखा कि उसकी संपर्क सूची सिर्फ एक अविश्वसनीय ऑर्डर थी ... मूल रूप से, उसके संपर्क में उसके सहयोगी शामिल थे और दोस्त। इसके अलावा, "जानकारी" के सभी उपनामों को वास्तविक नामों और उपनामों से बदल दिया गया था, और "अतिरिक्त जानकारी" में कई संख्याओं में जो उन्होंने व्यक्तिगत रूप से भरा था, फोन नंबर दिखाई दे रहा था। मुझे Asechka.ru समूह के साथ विशेष रूप से प्रसन्न किया गया था, जहां मेरे कई दोस्त थे, साथ ही हैकर्स समूह, जहां प्रसिद्ध केकड़ा xT स्थित था।

नतीजतन, मैंने सभी फोन नंबरों को बाहर निकाला, उन्हें ऊपर वर्णित विधि द्वारा जांचा और मेरा आधार पूरक किया, लेकिन यह वहां समाप्त नहीं हुआ। यह पता चला कि सभी कंडिंस की लगभग समान स्थिति में संपर्क सूची थी और हम हर एक से नए अनूठे फोन नंबर प्राप्त करने में सक्षम थे। मुझे लगता है कि हमारे आगे के कार्यों और परिणाम का वर्णन आपको नहीं करना चाहिए, क्योंकि हर कोई इसके बिना अनुमान लगा सकता है। मैं केवल यह जोड़ना चाहता हूं कि उपयोग किए गए सभी नंबर जल्दी से अपने मालिकों को लौट आए और यह एक बड़े प्रतिशत तक पहुंच गया ... यह भेद्यता बहुत मज़ेदार थी। इसके साथ शुरू करने के लिए, पासवर्ड बदलने के लिए मना किया गया था, साथ ही 7 अंकों से नीचे के अंकों (छह और पांच अंकों के लिए) के लिए पासवर्ड रिकवरी भी थी। और फिर, गलत कोड दर्ज करते समय, शिलालेख "अमान्य कोड" दिखाई देने लगा और प्रतिबंध आईपी द्वारा नहीं था, लेकिन एक विशिष्ट लिंक से कोड दर्ज करके।

अब कुछ मजेदार बात पर ध्यान देता हूं

उस अनुरोध को याद रखें जो मैंने पंजीकरण संख्या की जांच के लिए इस्तेमाल किया था? तो, एक नंबर पर एसएमएस भेजने की कोई सीमा नहीं थी! यह सुविधा तुरंत मोबाइल फोन की बाढ़ में लागू की गई थी। शीतल ने लगभग दो सप्ताह तक काम किया, और फिर एसएमएस भेजने पर सीमा तय की गई।

चलो जारी रखें!

फिर से, पुष्टि कोड दर्ज करने की कोई सीमा नहीं थी, और साथ ही कैप्चा दर्ज किए बिना बड़ी संख्या में पंजीकरण करना संभव था, और पंजीकरण के दौरान निर्दिष्ट फोन नंबर तक पहुंच के बिना। ऐसा करने के लिए, एसएमएस भेजते समय केवल एक चर इकट्ठा करना आवश्यक था, जिसे "ट्रांसिड" कहा जाता है फ़ॉर्म फ़ोन की एक शीट एकत्र करें ; इस शीट पर कोड्स को केवल भंग (चयन) करें और धीरे-धीरे संख्याओं को पंजीकृत करें। यह भेद्यता संभव है और अब मौजूद है, क्योंकि लेखन के समय, मैंने इसकी जांच नहीं की थी।

अब मैं आपको मोबाइल पर भेजे गए कोड के माध्यम से लॉगिन फ़ंक्शन के बारे में बताऊंगा

साइट के माध्यम से कोड दर्ज करते समय, या तो पांच या छह अंकों का पुष्टिकरण कोड भेजा गया था और इसे लेने की कोशिश करना थोड़ा रक्तस्रावी था, यह देखते हुए कि मुझे पहले से ही एक ही कार्य केवल थोड़ा और कहीं मिला। ICQ 7M और ICQ 8 क्लाइंट के पास यह फ़ंक्शन है, और जब आप अपना मोबाइल फोन दर्ज करते हैं, तो एक 4-वर्ण कोड वहां भेजा जाता है, जिसे चुनने पर आपको लॉगिन के लिए सभी चर मिल जाएंगे, मुझे बस उनके सभी नाम याद नहीं हैं, मुझे केवल मुख्य "सेशनिड" याद है। उन्हें इस भेद्यता का एहसास नहीं हुआ क्योंकि वे अनुरोधों पर हस्ताक्षर नहीं कर सकते थे, लेकिन यह हास्यास्पद होगा यदि एक दिन में कई दर्जन "कुलीन" संख्याओं की जानकारी में एक कॉमिक शिलालेख दिखाई देता है: " गे नर्क द्वारा हैक किया गया Asechka.ru के लिए विशेष। "

और अंत में, एक और मज़ेदार फीचर

यदि आप एक अपंजीकृत ICQ के मोबाइल नंबर से लॉग इन करने का प्रयास करते हैं, तो कोड भेजा जाएगा और एक नया नंबर पंजीकृत किया जाएगा। तो मैं यह सब क्यों कर रहा हूँ?

जैसे ही यह फ़ंक्शन पेश किया गया, इसने इस तरह काम किया: यह वही चार अंकों का कोड पासवर्ड के रूप में सेट किया गया था। लेकिन यह लंबे समय तक नहीं चला, दिसंबर 2012 से जनवरी 2013 के अंत तक, क्या आप सोच सकते हैं कि इस तरह से कितने नंबर पंजीकृत थे?

थोड़े विचार के साथ, मैंने इस तार्किक श्रृंखला की रचना की: यदि इस तरह से नंबर पंजीकृत है और इस तरह का पासवर्ड है, तो इसका उपयोग पंजीकरण के क्षण से नहीं किया जाता है → यदि पंजीकरण के क्षण से नंबर का उपयोग नहीं किया जाता है, तो नंबर के बारे में जानकारी के अंतिम परिवर्तन की तारीख लगभग पंजीकरण की तारीख के समान थी!

सौभाग्य से, एक ही ICQ खोज जानकारी गठबंधन यूएनएन डेटाबेस इकट्ठा कर रहा था ; अंतिम प्रोफाइल अपडेट , ऐसे नंबरों का एक डेटाबेस इकट्ठा करना, मैं 0000-9999 की सीमा के पासवर्ड के लिए गया था और बहुत अच्छे नंबर देखे थे ...

फिलहाल, अगर किसी नंबर का पंजीकरण इस तरह से किया जाता है, तो उसके लिए एक पासवर्ड सेट नहीं किया जाता है। आप सभी एक ही समय के चार-अंकीय कोड का उपयोग करके या बस एक पासवर्ड सेट करके "पासवर्ड रिकवरी" प्रक्रिया से मोबाइल फोन के माध्यम से इस तरह की संख्या तक पहुंच सकते हैं।

ये दिलचस्प चीजें हैं जो आईसीक्यू में नवाचारों ने खोली हैं, और मुझे लगता है कि ऐसी कमजोरियां काफी आम हैं। यदि अचानक आपकी सेवा में ये कार्य हैं, तो उन्हें "जूँ" के लिए जांचना सुनिश्चित करें।