|
|||
|
|||
Свежие дыры |
|||
Если вы забыли входной пароль на собственный ящик в системе MAIL.RU, предусмотрена возможность его узнать, – для этого вас и просили при регистрации указать свой адрес, а также некоторые уточняющие сведения о себе, нужные для идентификации вашей “подлинности”. Для того, чтобы вам напомнили пароль, придется ответить на несколько вопросов – иными словами, заново написать данные, указанные при регистрации. После чего по указанному адресу и будет выслан забытый пароль. Так? При этом последовательность действий состоит из трех пунктов: 1. Ввод вашего
логина. Так вот, если посмотреть исходники (html) последней странички, то обнаруживается поле типа hidden (скрытое) и со значением value, в котором написан ваш пароль ОТКРЫТЫМ ТЕКСТОМ!!! То есть: <INPUT name=password type=gidden value=”mypas”>. А предыстория события такова. На хак-форуме появляется сообщение об этой дыре (кажется, 8 числа). На MAIL.RU невозможно стало выйти, народ ломанулся туда и перехватывал друг у друга крутые адреса с завидным упорством. Вечером 8 августа ошибка исправлена. 9 августа на форуме появляется сообщение об очередной дыре, с предложением продать вам информацию о ней за 6-ти значный ICQ-номер. И якобы даже нашелся человек, который согласился, а потом написал восторженное замечание, что это крутая дыра, покупайте ее и т.д и т.п… Однако как я ни старался, другую дыру (подобного рода) найти не удалось, да и не мне одному… Думаю, что 99% за то, что это заявление было попыткой обмануть народ. Просто – очередной лохотрон. И что продававший дыру и покупавший - одно и то же лицо….(я бы сказал, скорее, наглая рожа). Что в общем-то подтверждается отсутствием каких-либо сообщений о новых дырах… Но так или иначе, дыра, найденная 8 числа, действительно существовала, и ,думаю, не ошибусь, если предположу, что она была еще за неделю до публикации на форуме. Так что же это? Ошибка программистов? Случайность? Или это сделано нарочно? Вы знаете, на случайность это не похоже, да и ошибку такую сделать очень трудно…думаю, даже невозможно! Вообще непонятно откуда и зачем это поле там взялось. Остается предположить, что это сделано нарочно. Но кем? Сделал ли это кто-то из MAIL.ru, оставив лазейку специально для себя(backdoors)? Или может mail.ru был взломан кем-либо, и это кто-то поставил дыру для себя? Так или иначе, но mail.ru должнен ответить на вопросы своих пользователей, а их (и пользователей, и вопросов) у одного из самых крупных бесплатных почтовых серверов очень много!
Microsoft
Internet Explorer, 9 августа. Уязвимые программы:
Microsoft Internet Explorer 4.X/5.X Эта дыра позволяла, используя скрипты на сайте, сохранять office-файлы(Word,Excel, PowerPoint) на ваших компьютерах, которые будут автоматически загружены при запуске соответствующего пакета MSOffice. Если в этих файлах есть VBScript, то он также может быть выполнен. Выводы очевидны. Также имеется ошибка, названная "IE Script", которая злонамеренному web-админу позволяет сослаться на MS-Access-файл на сайте. В свою очередь в открываемом файле могут запуститься макросы или VBS (Visual Basic Script).
Источник: http://www.emedia.ru/
|
|||
|
|||
Copyright © 2000г. "Internet Zone" & Nik Romanov, info@izcity.com | |||
Копирование и использование данных материалов разрешается только в случае указания на журнал "Internet Zone", как на источник получения информации. При этом во всех ссылках обязательно явное указание адреса вэб-сайта http://www.izcity.com/. При наличии у копируемого материала авторов и источника информации - их также нужно указывать, наряду со ссылкой на нас. |