узнать ФамилиюИмя владельца мыла @rambler.ru

http://id.rambler.ru/script/reg.cgi?password=666&[email protected]

достаточно просто открыть урл в бровзере - и увидите ЛюбаГиоргис - Firsname и Lastname - имя и фамилию, указанные владельцем мыла при регистрации ящика

самое интересное - похоже, нет ограничений на интенсивность обращения к урлу - получилось сделать около 50.000 запросов со скоростью около 20 запросов\сек. Т.е. легко собрать именную базу мыл на Рамблере

 

П.С. с помощью этого урла можно еще и брутать пароль к ящику @rambler.ru
Если в теле запрошенной страницы (например, http://id.rambler.ru/script/reg.cgi?password=666666&[email protected]) есть код:
<status>1</status>
значит пароль "666666" подошел!

Учитывая отсутствие ограничений на кол-во\скорость подбора пароля получается неплохой "интерфейс" для брута

 

а если <status>2</status>
то что тогда пароль не подходит?

 

хм правду работает! первый раз про это слышу! спс

 

мда блин используя етот status можно брутить пароли к рамбл-ящику чз веб-интерфейс

 

причем очень легко...

 

Можна это все реализовать в брут пока бага еще свежая=)

 

реализовать в брут
писать нич0 не надо - достаточно сгенерить или собрать файлик с паролями, перед каждым паролем вставить "http://id.rambler.ru/script/[email protected]&password=", сохранить файлик как "brute.txt", запустить:

wget -i brute.txt

и брут начнецца

 

Пасивная XSS
http://id.rambler.ru/script/reg.cgi?username=<script>alert('XSS')</script>

 

devton подскажи способ что бы быстро вставить ссылку перед каждым паролем )

 

Ограничение на подбор пароля есть
после ~20 неправильных вводов пароля будет всегда выдавать

Code:

<status>2</status>

а при попытке зайти с главной страницы будет просить ввода капчи

 

Sleep, молодца
действительно, при подборе пароля к одному мыльнику ограничение имеецца
радует то, что при сборе имен-фамилий по куче мыл ограничений пака нет

Vallez, Htz Pro - это набор крохотных тулз, которые позволяют делать такие массовые подстановки/замены/вырезания

 

а что означают цифры после имени и фамилии? у одних 0027 или 0017 у других больше до 10 знаков

 

Открой код страницы...там xml, все станет ясно (сам ща не могу тк чз оперуМини)

 

интересная статейка, а на других почтовиках есть похожие фичи?

 

dscan, циферки типа 0017 это на самом деле вод чт0:
LSPBirthDay>0</LSPBirthDay><LSPBirthMonth>0</LSPBirthMonth><LSPBirthYear></LSPBirthYear><LSPGender>1</LSPGender><LSPCountry>7</LSPCountry><LSPState></LSPState><LSPCity></LSPCity></PartnerData>
те день рождения, год, страна итп. У тех, кто указал все ето, циферок боольше чем в данном случае

pixelm, я ща ищу для других популярных русских служб...пока не наш0л

 

Есть у кого относительно новая/полная/большая база мыльников рамблера? Я выкачал кучу файлов-миллионников с мылами, поискал среди них рамблеровские, отсортировал...в итоге чуть меньше 100.000 мыльников

Просто есть возможость собрать инфу по базе практически любого размера...подкинул бы кто базу валидных мылл рамблера

 

Рамблер от детишек прикрылса...альтернативный интерфейс есть, но с сегодняшнего дня и там ФИО не выдаецца

 

ребят я новичёк в етом деле....обьясните че почем!!!)))плззззз!!

 

Уже не работает