Чаты Новый движок chat.mail.ru

Discussion in 'Веб-уязвимости' started by Algol, 24 Mar 2003.

  1. Algol

    Algol New Member

    Joined:
    29 May 2002
    Messages:
    1,759
    Likes Received:
    4
    Reputations:
    0
    На chat.mail.ru першли на новый движок. Теперь чат работает на т.н. стрим (stream) версии.
    Качество связи как мне показалось стало лучше. Оформление - все та же фигня.
    В целом быстродействие повысилось.

    Но есть существенный прокол.
    Номер сессии, используемый для идентификации юзеров выбран почему-то очень коротким - семизначное шестнадцатиричное число.
    см. http://antichat.ru/chatmailru.JPG
    Учитывая что в чате находится от 500 до 1000 человек, оказалось, что минут за 10 , с помощью хорошей програмки по подбору паролей, можно найти чужой номер сессии... со всеми вытекающими  [​IMG]
     
  2. 2pac

    2pac New Member

    Joined:
    30 Mar 2003
    Messages:
    5
    Likes Received:
    0
    Reputations:
    0
    Круто. Спасибо. Учтём.
     
  3. Sn3zHka

    Sn3zHka ^_^

    Joined:
    17 Jan 2003
    Messages:
    241
    Likes Received:
    1
    Reputations:
    0
    Клёво. Thanks.Будем знать.