Уразливості на hulu.com
23:55 28.01.2009У березні, 15.03.2008, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості на проекті http://hulu.com.
Abuse of Functionality:
На сторінці реєстрації https://secure.hulu.com/signup функція check, яка призначена для перевірки чи вільний даний логін, дозволяє дізнатися логіни користувачів в системі.
Insufficient Anti-automation:
Враховучи, що дана функція не має захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. Що може бути зроблено за допомогою брутфорсерів логінів, зокрема, моєї програми Brute force login identifier (що я розробив в березні 2008 року).
За допомогою Brute force login identifier я легко виявив наступні логіни в системі:
00
000
0000
00000
000000
0000000
00000000
000000000
0000000000
00000000000
В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів сайта.
Середа, 15:42 09.03.2011
Цікаво, як можна дізнатись пароль, якщо відомий логін? Знову brute force?
Час буде абсолютно не прийнятним.
“відновлення паролю” - відсилається на пошту, наврядчи можна прочитати вміст повідомлення.(звісно, можливо Я і не правий)
Середа, 20:29 09.03.2011
Андрій
У випадку викиристання на сайті спрощеної форми логіну (лише з полем “пароль”) потрібно провести лише Brute Force атаку. В інших випадках - як на всіх солідних сайтах, в тому числі й на hulu.com - потрібно вводити логін і пароль, які потрібно підібрати.
В такому випадку спочатку потрібно підібрати логін - через різноманітні Abuse of Functionality уразливості, про що я писав в цьому записі та багатьох інших записах. Після визначення логіну можна зайнятися визначенням паролю - через Brute Force атаку.
Як показує мій власний досвід (по визначенню логінів та паролів під час проведення аудиту безпеки) - час цілком прийнятний. І щоб цей процес зайняв небагато часу, потрібно щоб на сайті були прості логіни й паролі (а для їх виявлення потрібно використовувати перебір по відповідними словникам).