Rambler bug

Информационная безопасность*

При регистрации новой почты или при клике по ссылке восстановления пароля, обратите внимание на правый верхний угол — похоже что случайным образом перехватываешь чью-то сессию, причем при рефреше страницы сессия меняется. Минимум можно собрать актуальную спам базу.

пруфлинк

UPD: есть способ для захвата случайной почты (привязанного номера icq и т.д.), по понятным причинам здесь не публикую, администрация рамблера поставлена в известность.

UPD2: 22:30 GMT +3 bug fixed

rambler
, bug

+71

28 июня 2009, 18:49

exitusletaris 62,8

комментарии (134)

posthuman 28 июня 2009, 18:56 #

Здравствуйте, Ira Sh
ecla[вырезано]pils@rambler.ru

И у вас этот user?

exitusletaris 28 июня 2009, 18:58 # ↑

Каждый раз рандоино.

posthuman 28 июня 2009, 19:06 # ↑

Да уже заметил.
Спамеры могут собрать кучу адрессов написав крохотный скрипт.

exitusletaris 28 июня 2009, 19:11 # ↑

Тут уже дело не в спамерах, а в том что можно взломать практически любой рандомный аккаунт.

Popik 28 июня 2009, 20:03 # ↑

Именно то, что аккаунт случайный, делает угрозу весьма незначительной.

–12

ShamanWild 28 июня 2009, 20:05 # ↑

А Вам было бы приятно, если бы Ваш аккаунт там выпал?

habracut 29 июня 2009, 00:45 # ↑

>А Вам было бы приятно...

Кстати, Вам бы было приятно узнать, что хабраюзер ShamanWild является тем самым,
кто барыжил аккаунтами на хабр не так давно?

информация предоставлена небезызвестным человеком-гуглом cypa.

sadsanta 29 июня 2009, 07:24 # ↑

И тем самым, кто собрал через этот баг 5000 мыл и поделился своим достижением на том же античате.

yaidiot 29 июня 2009, 08:53 # ↑

А вам с сурой какая печаль?

НЛО прилетело и опубликовало эту надпись здесь

–1

exitusletaris 28 июня 2009, 20:08 # ↑

Массовый захват ящиков ни к чему хорошему не приведет. Помимо утечки данных существует большая вероятность того, что будет проспамлена вся адресная книга вредоносной программой, ложные сообщения о займе денег и т.д.

DIDJER 29 июня 2009, 10:58 # ↑

Собрали базу из логинов которые используются часто в качестве пароля, размером в 10 мб чистого текста. А ещё по мимо этой баги, можно было проникнуть в любую почту которая рандомно выпала из этой баги, но как сказано выше — всё прикрыли.

habracut 28 июня 2009, 18:58 # ↑

Нет. Попробуйте обновить страницу.

jeje 28 июня 2009, 18:59 #

Ох ребята и учудили :)

gigimon 28 июня 2009, 19:33 #

Если почитаете некотоыре форумы, уже выложили алгоритм и скрипты (:

НЛО прилетело и опубликовало эту надпись здесь

gigimon 28 июня 2009, 20:57 # ↑

ну, тут вы просто выкачиваете страницу… а там все серьезнее

НЛО прилетело и опубликовало эту надпись здесь

raspezdal 29 июня 2009, 00:33 # ↑

раз уж виндовый wget, то для этого и виндовый grep можно использовать…

gigimon 29 июня 2009, 02:19 # ↑

Ну вон ниже подтвержают, уже через этот баг в ящики заходят и аськи угоняют

quazar 28 июня 2009, 19:44 #

soblaznitelnaja-gracioznaja
я в шоке от того, что иногда выходит

posthuman 28 июня 2009, 20:34 # ↑

хорошо хоть не admin@rambler.ru

commartin 28 июня 2009, 22:27 # ↑

мне выпало gracioznaja-skazochnaj

Что-то подозрительно похожие адреса выпадают

Sincous 28 июня 2009, 22:32 # ↑

На удивление уже около 50 icq номеров отобрал и написал «Добрый вечер», ответа — нет О_о
Неужели это honeypot?

Sincous 28 июня 2009, 23:16 # ↑

UPD: Всё таки достучался до 2 людей, у одного увели icq.

ernt 28 июня 2009, 19:44 #

администрация рамблера поставлена в известность

Насколько давно? Возможно, следовало просто немного подождать, а не возбуждать юных хацкеров? :)

–3

exitusletaris 28 июня 2009, 19:48 # ↑

юные хакеры и так уже достаточно возбуждены:
habrahabr.ru/blogs/infosecurity/63095/#comment_1748037

DileSoft 28 июня 2009, 19:49 # ↑

Ну, строго говоря, Хабр преумножает их количество на порядки. :)

DileSoft 28 июня 2009, 19:47 #

Я даже не представляю алгоритм, который мог породить подобный баг.

НЛО прилетело и опубликовало эту надпись здесь

DileSoft 28 июня 2009, 21:03 # ↑

где пример?

JustLuckyGuy 28 июня 2009, 21:32 # ↑

Думаю, как обычно — съел злой хабрапарсер.

MrTiM 28 июня 2009, 22:12 # ↑

… а заодно и хабракомментатора, судя по тому, что алгоритм так и не был выложен.

xqz_me 28 июня 2009, 22:14 # ↑

написано же, пример на пыхе :)

НЛО прилетело и опубликовало эту надпись здесь

gigimon 28 июня 2009, 20:59 # ↑

я вот тоже не могу придумать ситуацию, когда бы при вспоминании пароля, надо было б выводить такое

andreiko 28 июня 2009, 21:31 # ↑

ну наверное в запросе проверки сессии забыли WHERE :)

DileSoft 28 июня 2009, 21:33 # ↑

Тогда получается там демонстрируют последних зарегистрировавшихся. Что странно — вряд ли там происходит регистрация каждую секунду.

НЛО прилетело и опубликовало эту надпись здесь

DileSoft 28 июня 2009, 21:39 # ↑

А, ну это может быть.

merlin_rterm 28 июня 2009, 21:44 # ↑

вот и отправили бы ему письмо типа «выйди из рамблера, а то я уже трижды имел шанс у тебя почту спереть»

НЛО прилетело и опубликовало эту надпись здесь

razetdinov 28 июня 2009, 21:41 # ↑

Есть подозрение, что страница кешируется вместе с uid’ом.

НЛО прилетело и опубликовало эту надпись здесь

hobbit19 28 июня 2009, 20:04 #

пипец )

–1

neuotq 28 июня 2009, 20:13 #

ППЦ!
А upd можно было не писать, кто в теме и сам поймет, а так теперь другие начнут искать.

merlin_rterm 28 июня 2009, 20:19 #

А какой из этого следует вывод для юзеров рамблера? Им «не заходить в веб-интерфейс, пока не пофиксят» (чтобы не было их сессии активной)?

mgn 28 июня 2009, 20:26 # ↑

Я еще на всякий случай скопировал все письма на гмэйл и удалил с ящика рамблера. Как пофиксят так вернусь :)

merlin_rterm 28 июня 2009, 21:00 # ↑

Да я не о себе беспокоюсь, у меня отродясь там ящика не было :)
Есть люди, которым я желаю всяческого добра и счастья, о них вот…

mgn 28 июня 2009, 21:03 # ↑

Спасибо :) А у меня есть и сейчас паника :(

MrTiM 28 июня 2009, 22:35 # ↑

А зачем вам Рамблер?

mgn 29 июня 2009, 00:02 # ↑

Ну так исторически сложилось, что первый ящик был на рамблере. А теперь к нему привязано очень много регистраций на разных сайтах/сервисах/системах.

Zhilinsky 28 июня 2009, 21:51 # ↑

Бежать с таких сервисов и юзеров уводить, это очевидно.

НЛО прилетело и опубликовало эту надпись здесь

polyakstar 28 июня 2009, 20:37 #

Там еще и поле заполняется помимо того что в правом верхнем углу:
1010101.ru/spam/2009-06-28-20-3536.png

–2

grokinn 28 июня 2009, 20:48 #

давайте лучше поможем пользователям рамблера — пусть каждый заходящий на эту страницу нажмет «выйти» под адресом того случайного человека, тогда его сессия закроется и может быть он не попадет в базу спамеров.

HeadWithoutBrains 28 июня 2009, 20:54 #

Порефрешил, и тут мне вывело:
Ваш новый номер ICQ: 553566964

Вот спасибо =)

Блин, это что долбят программеры рамблера, что бы такое делать?

pietrovich 29 июня 2009, 00:00 # ↑

а не курят ли то же самое разработчики Бигмира?
я уже устал получать письма со своим «новым номером ICQ». у меня их наверное уже за сотню перевалило, хотя сам я для их регистрации палец о палец не ударил.

Speakus 28 июня 2009, 20:55 #

нда… хорошо, что у меня акка на рамблере нету.

НЛО прилетело и опубликовало эту надпись здесь

yuretsz 28 июня 2009, 20:59 # ↑

Знамо дело — выходной. А с дому зайти и починить запрещает политика безопасности компании.

Ну это, естественно, только мои догадки.

amima 28 июня 2009, 21:03 # ↑

В крупных компаниях обычно используется VPN для этих целей

merlin_rterm 28 июня 2009, 21:05 # ↑

Даже в некрупных используется

yuretsz 28 июня 2009, 21:07 # ↑

Я имел ввиду «нельзя» в административном порядке.

–1

merlin_rterm 28 июня 2009, 21:09 # ↑

Т.е. даже такие вот критические баги фиксить административно нельзя?

Сомневаюсь, чтобы в рамблере так было. Очень уж это совковая бюрократия, чесслово.
Скорее, программисты на дачах и на речке, не могут их дозваться :)

amima 28 июня 2009, 21:15 # ↑

Можно просто закрыть скрипт на это время силами админов. Должны быть дежурные админы. Лучше невозможность восстановить пароль, чем уведенный ящик. Если окажется еще что у них не ведутся логи/архивы и уведенные пароли никак не восстановить, то это будет 100% фиаско рамблера, как почты.
Я подозреваю что скорее «администрация рамблера поставлена в известность» означает что отправлено письмо в саппорт, а вот саппорты как раз по выходным не работают.

LMik 28 июня 2009, 20:56 #

Мда уж, никгда к рамблеру дверия не был, а теперь и подавно.

LMik 28 июня 2009, 20:59 #

Еле открывается уже, задосили опять :)

freefd 28 июня 2009, 21:02 # ↑

стабильно бегает.

danil 28 июня 2009, 21:02 #

«опять я тырнет не понимаю, в рамблере пытаюсь завести ящик, а там в правом верхнем углу ко мне обращаются величая разными именами с разными ящиками, кто подскажет это вообще что за муть ?»

beatr1che.livejournal.com/17605.html

поможем? :-)

bat 28 июня 2009, 21:11 # ↑

id.rambler.ru/script/newuser.cgi
О как, еще не успел представиться…

К сожалению, на Рамблере уже есть пользователь @rambler.ru. Вы можете выбрать себе другое имя, или воспользоваться именами из предложенных ниже.

pizdasos4
pizdasos2009
pizdasos09
pizdasospizdasos
pizdasos-pizdasos
pizdasos.pizdasos

Если пользователь @rambler.ru — Вы, и Вы просто забыли пароль, воспользуйтесь службой восстановления паролей.

P.S.
Может это прикол такой (с трудом верится)?

beloks 28 июня 2009, 21:16 #

Удобно, при обновлении страницы по сути нам для базы предоставляю сразу два ящика справа-вверху ну и прямо перед глазами.

amima 28 июня 2009, 21:17 #

Удивительно что такой ахтунг висит уже 3-ий час. В Москве сейчас пробки? =)
Такое должны фиксить за 10 минут, даже если в гондурасе пьют кофе. Охранникам блин позвонить и рассказать что надо сделать.

+13

dive 28 июня 2009, 21:29 #

млин, просто офигеть. неужели они не могут хотя бы доступ закрыть к скрипту?
левой ногой написал скрипт, посмотрим сколько успеет насчитать, пока дыру не закроют. потом отпишусь сколько насчиталось.
считать начало в 21:26.

amima 28 июня 2009, 21:33 # ↑

Позвольте поинтересоваться, зачем Вам понадобилась эта база?

dive 28 июня 2009, 21:35 # ↑

мне она не нужна. просто интересно сколько насчитается на момент закрытия бага. для статистики.
я имена, кстати говоря, не пишу, только email адреса.

amima 28 июня 2009, 21:36 # ↑

Для статистики можно не писать и email адреса, а писать только +1

dive 28 июня 2009, 21:40 # ↑

согласен, не ругайтесь только.
но если потом выснится, что выводились только определенные email'ы, к примеру, из закешированных за последние 6 часов, а также выяснится, что пароли и явки тоже уплыли, то у меня будет база и я смогу разослать попавшим в список людям письмо о том, что их аккаунт попал под раздачу.

благой порыв? (:

amima 28 июня 2009, 21:41 # ↑

ок, верю что на хабре люди приличные

bat 28 июня 2009, 21:40 # ↑

видимо для отсева дубликатов

dive 28 июня 2009, 21:41 # ↑

кстати, адреса почты очень часто повторяются.

merlin_rterm 28 июня 2009, 21:46 # ↑

Вот я и говорю — отправьте им письмо, что мол «ребят, палитесь». Наверняка сразу прочитают и испугаются :)

НЛО прилетело и опубликовало эту надпись здесь

dive 28 июня 2009, 21:48 # ↑

ну, не настолько ногой я писал (: дубликаты сразу выявляются и количество повторов дописывается после адреса почты.

darkk 28 июня 2009, 23:11 # ↑

Нельзя — надо проверять потом на уникальность.

MrTiM 28 июня 2009, 22:40 # ↑

Ну что, сколько?

+15

dive 28 июня 2009, 23:26 # ↑

статистика такова:
начал делать запросы в 21:26, починили в 22:28, т.е. за 62 минуты данные.
запросов к серверу, на которые я получил ответ с email'ом 14332, из них уникальных email'ов 1532, т.е. почти каждый десятый.
чаще всего были получены уникальные email адреса, но есть и такой, который попался 390 раз.
вот в графике (на бар-чарте: полосочки — количество email'ов от общей массы, «повторяется раз» — сколько раз повторилось, явно видно, что большинство email'ов были уникальными):

MaRio 28 июня 2009, 21:41 #

а бывает ещё интереснее:

amima 28 июня 2009, 21:42 # ↑

Чем именно это интереснее?

MaRio 28 июня 2009, 21:45 # ↑

я несколько раз обновлял страницу, и только 1 раз выпала возможность изменить пароль

–1

amima 28 июня 2009, 21:55 # ↑

Понял, пардон, не туда глядел.

merlin_rterm 28 июня 2009, 21:45 # ↑

Насколько я понял, это уже СМЕНА ПАРОЛЯ клиента. Проще говоря, увод ящика.

MaRio 28 июня 2009, 21:45 # ↑

вот именно

amima 28 июня 2009, 21:58 # ↑

Похоже Вам уникально повезло и Вы попали на пользователя который в данный момент действительно восстанавливал пароль, и Вам досталась его сессия.

MaRio 28 июня 2009, 22:07 # ↑

оказывается не так уж и уникально, понажимайте F5, везёт достаточно часто
не факт, что при сабмите сессия опять не сменится

amima 28 июня 2009, 22:10 # ↑

Да уж, лучше не эксперементировать =)

merlin_rterm 28 июня 2009, 22:01 #

А про одного юзера сейчас вот такое сказало:

Слишком много запросов на восстановления пароля



Нами зарегистрировано слишком много запросов к системе восстановления пароля от Вас.
Пожалуйста, сделайте перерыв на несколько часов и попытайтесь вспомнить точно ответ на вопрос.

merlin_rterm 28 июня 2009, 22:03 # ↑

Это при том, что я никаких рефрешей постоянных не делал, раз пять-шесть страничку рамблера загружал всего. Т.е. «От вас» — точно не «с вашего ip-адреса».

amima 28 июня 2009, 22:09 #

Будет очень смешно и грустно если оно проживет до утра понедельника.

merlin_rterm 28 июня 2009, 22:10 # ↑

По-моему, смешно перестало быть и стало грустно уже час как :(

MaRio 28 июня 2009, 22:14 # ↑

рамблер — это всегда грустно :(

0day 28 июня 2009, 22:15 # ↑

Этот баг выложили еще днем в 13:16 на Злом — forum.zloy.org/showthread.php?t=84704
Народ там уже давно развлекается уводом асек и аккаунтов от разных сервисов

0day 28 июня 2009, 22:18 # ↑

Так что это будет еще очень хорошо, если Рамблер этот баг к завтрашнему утру соизволит прикрыть.

Bug 28 июня 2009, 22:14 #

Я тут не причем!!!

MrTiM 28 июня 2009, 22:18 #

OMG, какой стыд!

«Разобраться. Наказать виновных. Доложить в трехдневный срок»!

–2

Xalegi 28 июня 2009, 22:24 #

вот это жесть!!!

вот поэтому я не пользуюсь бесплатными почтовиками.

deseven 28 июня 2009, 22:34 # ↑

ой да ладно… Можно подумать у платных сервисов не бывает подобных косяков.

–2

amima 28 июня 2009, 22:52 # ↑

Подобных — нет.

lrom 28 июня 2009, 22:30 #

Пофиксили

xqz_me 28 июня 2009, 22:36 # ↑

Всего-то 9 часов потребовалось. Жесть.

–1

Xalegi 28 июня 2009, 22:37 # ↑

на рекорд идут :)
или они эстонцев набрали? :)

FFF 28 июня 2009, 22:33 #

Нда… Что-то Рамблер как-то стал часто допускать подобные ошибки. Обидно.

Пофиксили, кстати.

antyblin 28 июня 2009, 22:36 #

Вроде, пофиксили уже.

antyblin 28 июня 2009, 22:36 # ↑

Сори, не читал комменты выше.

za4to 28 июня 2009, 22:42 #

Вроде исправили!

НЛО прилетело и опубликовало эту надпись здесь

yuretsz 28 июня 2009, 23:01 # ↑

Знал бы, что ты собираешь, я бы тебе и свои 5 тысяч подкинул. Я просто полюбовался результатами и прибил всё.

SatyrArs 28 июня 2009, 23:09 #

А, пофиксили? А я нажал «выйти» и расстроился, что больше не появляются.

razetdinov 28 июня 2009, 23:17 #

www.computerra.ru/bitrix/admin/
Логин: webmaster
Пароль: 1234567

lostinfuture 28 июня 2009, 23:25 # ↑

Да вы что, это место свято!

razetdinov 28 июня 2009, 23:29 # ↑

Брешь безопасная, иначе бы не постил.

SKYnv 28 июня 2009, 23:26 # ↑

а я читал частенько, до смены дизайна главной страницы, стал бред такой. Поэтому только компьюленту щас смотрю…

lostinfuture 28 июня 2009, 23:31 # ↑

я тоже читать перестал, но вырос на этом журнале и трепетно к нему отношусь:]

rozboris 28 июня 2009, 23:32 # ↑

Не обманывайте людей.

Ну или кто-то умный уже сменил пароль.
Или (самое невероятное) — пофиксили.

SKYnv 28 июня 2009, 23:35 # ↑

пофиксили, я логинился прекрасно, потом вышел сразу так-как уважаю сие издание.

razetdinov 28 июня 2009, 23:41 # ↑

Не обманываю, подходит любой логин/пароль из форума.

dive 28 июня 2009, 23:30 #

dive 28 июня 2009, 23:36 # ↑

эм, почему то два раза пост в теме появился. извините. это не я (:

Sincous 29 июня 2009, 02:18 # ↑

У меня из 7838 e-mailов
1293 уникальных,
причем парсил я в течение 40 минут.
Это получается, что в рамблер почте он-лайн висет ~1500 человек в час О_о

dive 29 июня 2009, 01:41 #

отправил полученный список email'ов в Rambler. может быть пригодится им или смогут вернуть утраченные аккаунты владельцам.
так же попросил их осветить проблему или хотя бы дать комментарий по этому поводу.

на спам-ресурсах говорят, что смогли собрать почти миллион адресов. уже продаются даже.

blackst0ne 29 июня 2009, 02:29 #

Мне интересно, получит ли по шапке программист, допустивший такой ляп?

lovermann 29 июня 2009, 03:27 # ↑

Кроме программиста по шапке получит целая команда людей: от тестеров по прожект-менеджеров.

beloks 29 июня 2009, 12:11 # ↑

Главное они теперь хорошо и точно будут знать за что получили.

NiOS 29 июня 2009, 13:43 #

Почему-то это никто до сих пор не прокоментировал…

Что самое интересное глючить Рамблер стал после смерти создателя Дмитрия Крюкова

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.

Лучшее ^{за 24 часа} ↓

Заземление. Что это такое и как его сделать

Находим admin + shell на *******.alfabank.ru с помощью Google

Делаем ядерную люстру на 100'000 люмен

Уже не Первый

thn.gs — для того, чтобы не помнить

Dragon SpaceX успешно достиг МКС

Отладка сложных веб-приложений — эффективная багодробилка на production-серверах

С Днём Рождения, Хабр!

Пять преимуществ прокрастинации

Intel выпустила Android 4.0 для x86

« все лучшие

Похожие посты ↓

Rambler bug 28.06.2009

Интересный crash-bug в Chromium/Chrome 28.03.2012

Найдена уязвимость в Rambler почте или в ICQ.com? 01.03.2012

Результаты конкурса CUBRID Bug Bash 11.10.2011

Spaces bug fix in Twitter.app 03.03.2011

Flash bitmap printing bug 11.02.2011

Python Bug Weekend 20.11.2010

Rambler тоже хочет ICQ 15.02.2010

Новый офис компании «Rambler» 19.12.2009

Bug: cамопроизвольная замена символов в textarea при загрузке страницы в Opera 10 02.10.2009

Прямой эфир ↓

VolCh → Назад в прошлое: Печать фотографий на фотоувеличителе 65

Beketov → С Днём Рождения, Хабр! 100

Muk → Фотоотчет о подключении самого мощного коммутатора в мире Black Diamond X8 43

VolCh → Санкт-Петербург: уже можно прикладывать телефон к турникету 183

Quester → Gfranq.com 3

Ember → Dragon SpaceX успешно достиг МКС 60

Zuy → В какой компании самая высокая средняя зарплата младшего инженера? [Правильный ответ в первом комментарии] 61

DIHALT → Bump — естественный интерфейс простыми средствами 49

Zawullon → Банк Санкт-Петербург выпустил интернет-банк для Android 3

Maratyszcza → Установка и Настройка Intel® Atom x86 Image for Android SDK 5

Компания дня Компания, чей пост набрал максимальное количество баллов 
среди всех опубликованных в корпоративных блогах постах за 
прошедшие сутки. Учитываются посты, для которых истек срок голосования (3 дня с момента публикации).