Глупые ошибки ICQ 2. Продолжение банкета.

Discussion in 'Skype, IRC, ICQ, Jabber и другие IM' started by alkos, 22 May 2013.

  1. alkos

    alkos Elder - Старейшина

    Joined:
    28 Mar 2007
    Messages:
    1,148
    Likes Received:
    292
    Reputations:
    271
    Итак, майские праздники позади и администрация ICQ всерьез продолжила заниматься прикрытием багов в своем сервисе, что не может не радовать. Так в понедельник 13 мая был пофиксен еще один способ менять пароли на шестизнаках. А уже через два дня был закрыт доступ в админку сервиса lifestream.icq.com! Именно о последней "баге" собственно и пойдет речь.

    [​IMG]

    Доступ в админку был поистине смешным: http://lstreamfeweb.evip.icq.com/admin. В других случаях доступ ограничен паролем и ip-авторизацией, но тут почему-то отсутствовало и то и другое. Любой желающий мог пройти по ссылке и посетить админскую панель управления. :) Сама панель содержала обильное количество функций для управления в первую очередь лайфстримом, каналами пользователей, привязками к youtube, twitter, facebook и т.д. Сразу хочется отметить, что доступа к критической информации, будь то пароли, электронные адреса для авторизации и привязанные номера телефонов, в панели не содержалось.

    Отдельно стоит упомянуть функцию "View graph cache in memcached", которая позволяла посмотреть кэш контакт-листа от любого ICQ-уина или аккаунта AIM. Кэш судя по всему обновлялся и чистился редко, поэтому обычно он содержал 70-95% от всего контакт-листа.

    Другая функция "View accountinfo stored in memcached" позволяла посмотреть привязанные к уины аккаунты гугл, твиттер и фэйсбук.

    Остальные функции можно посмотреть в скриншотах. Из самых интересных это пожалуй "Delete User" и "Bind Account" :).

    [​IMG]

    [​IMG]

    [​IMG]

    Также можно было управлять сервисами, подключенными к каналам пользователей в лайфстрим и представленными на карте локациями отдельных структур и аффилированных организаций. :D

    [​IMG]


    [​IMG]

    З.Ы. Как долго бага была точно не известно, но по моим данным это длилось более чем 1.5 месяца.

    З.Ы.Ы. Аналогичной админки в лайфстриме на серверах AOL не обнаружено.
     
  2. Химик20

    Химик20 New Member

    Joined:
    10 Jun 2013
    Messages:
    0
    Likes Received:
    0
    Reputations:
    0
    да че с аськой творится
     
  3. alkos

    alkos Elder - Старейшина

    Joined:
    28 Mar 2007
    Messages:
    1,148
    Likes Received:
    292
    Reputations:
    271
    Оживляем тему! Пару недель назад админка (http://lstreamfeweb.evip.icq.com/admin) вдруг вновь ожила! И админы опять накосячили - доступ в админку не фильтровался!

    Вооружившись сорсами своего брута ALICE, за вечер мной был написан многопоточный граббер контакт-листов от ICQ-уинов (ICQ CL GET).
    [​IMG]

    Примерно за неделю удалось собрать базу ~100 млн. аккаунтов! Затем бага была закрыта. :)
    [​IMG]
     
    4 people like this.
  4. Alexandr II

    Alexandr II -=ImperatoR=-

    Joined:
    28 Dec 2007
    Messages:
    1,069
    Likes Received:
    671
    Reputations:
    87
    не понял, ты собрал базу номеров или номера с паролями?
     
  5. alkos

    alkos Elder - Старейшина

    Joined:
    28 Mar 2007
    Messages:
    1,148
    Likes Received:
    292
    Reputations:
    271
    Админка позволяла только контакты просматривать. Поэтому собрал базу контакт-листов различных уинов.
     
    #5 alkos, 8 Jun 2014
    Last edited: 8 Jun 2014
  6. Alexandr II

    Alexandr II -=ImperatoR=-

    Joined:
    28 Dec 2007
    Messages:
    1,069
    Likes Received:
    671
    Reputations:
    87
    ну теперь либо брут либо спам :)
     
    3 people like this.
  7. makag

    makag Staatsanwalt

    Joined:
    27 Sep 2009
    Messages:
    478
    Likes Received:
    564
    Reputations:
    98
    а я то думаю, чего это последние дней 10 спам валит в асю.

    теперь все понятно -)
     
  8. kerchi

    kerchi Banned

    Joined:
    11 May 2013
    Messages:
    6
    Likes Received:
    1
    Reputations:
    3
    зачем мне, несколько миллионов, мёртвых номеров. - только время тратить. собирай лучше живых пользователей.
     
  9. mailbrush

    mailbrush Well-Known Member

    Joined:
    24 Jun 2008
    Messages:
    1,997
    Likes Received:
    996
    Reputations:
    155
    В нескольких миллионах номеров, собранных с КЛ пользователей будет гораздо больший процент живых, чем в нескольких миллионах, сгенеренных рандомно или по диапазону.
     
    1 person likes this.
  10. alkos

    alkos Elder - Старейшина

    Joined:
    28 Mar 2007
    Messages:
    1,148
    Likes Received:
    292
    Reputations:
    271
    В первую очередь собиралась база элитки, коротких уинов и свежерегов. Если там будет хотя бы 1% живых контактов, то это уже ~1 млн. пользователей. :cool:
     
  11. Alexandr II

    Alexandr II -=ImperatoR=-

    Joined:
    28 Dec 2007
    Messages:
    1,069
    Likes Received:
    671
    Reputations:
    87
    а если по поиску работать? как это и делалось раньше..