Pull to refresh

Угон аккаунтов Yahoo, AOL, Hotmail

Information Security
В популярных почтовых сервисах Yahoo, AOL и Hotmail недавно были найдены уязвимости, позволяющие получить доступ к чужим аккаунтам.

Суть уязвимостей везде одинаковая: использовалась логическая ошибка при восстановлении пароля, в результате которой можно было задать новый пароль в обход проверки легитимности пользователя (ответа на контрольный вопрос и т.д.)

Видео демонстрация для Hotmail:




Судя по всему, уязвимости уже прикрыты. Т.к. у меня не получилось ими воспользоваться. Хотя, для повтора действий не хватает нескольких данных. Например, в случае с Yahoo так и осталось загадкой на что нужно было менять переменную Z в POST-запросе. А для Hotmail неясно что присвоить переменной __V_SecretAnswerProof. Но видео выше является доказательством того, что уязвимости присутствовали.

В случае с Hotmail уязвимость срабатывала, если у жертвы для восстановления пароля использовался альтернативный адрес электронной почты. Hotmail также позволяет восстанавливать пароль через ответ на секретный вопрос. Однако, эксплоита для этого случая предоставлено не было.

В данный момент AOL даже при обычном восстановлении без хаков выдаёт ошибку:

We're sorry. There is no information to reset your password.
For further assistance, you can contact a representative directly by calling 1-855-PWRESET (855-797-3738), Monday — Sunday, 8:00 AM — 10:00 PM (EST).
Verify this is your account

Please select one of the following options to verify your identity.

Alternate Email Address
Billing Information
Account Security Question
Tags:resetpasswordvulnerable
Hubs: Information Security
Total votes 31: ↑29 and ↓2 +27
Views2.3K

Comments 10

Only those users with full accounts are able to leave comments. Log in, please.

Popular right now

iOS-разработчик с нуля
April 14, 202187,900 ₽Нетология
Web-разработчик на Python
April 15, 202149,000 ₽OTUS
Машинное обучение
April 15, 202156,000 ₽Нетология
JavaScript Developer. Professional
April 15, 202172,500 ₽OTUS
STYL
April 15, 202171,500 ₽XYZ School