Այն ինչ գրում եմ, պարզապես ներկայացնում եմ մի հակերի պատմությունը` իր իսկ նկարագրությամբ: Նյութի մեջ առկա տեղեկատվությունը միտված է ընթերցողներին զգուշացնելուն: Նյութի հետևանքների համար ես ՊԱՏԱՍԽԱՆԱՏՈՒ չեմ… Նյութը հասկանալու համար պետք է գոնե մի քիչ գիտելիքներ ունենաք sql-ինյեկցիաների և XSS հարձակումների մասին:
Հասկանալի՞ է… ուրեմն գնացին: Հիշեցնեմ որ պատմությունը պատմվում է հենց այդ մարդու կողմից, իսկ ես միայն թարգմանում եմ..
[օր առաջին...]
Գիշերվա երկուսն է, ես արդեն պատրաստվում էի քնել, բայց որոշեցի նախքան քնելը ստուգել էլ.փոստս: Մտնելով փոստարկղս (ես գրանցված եմ մեյլ.ռու-ում), տեսա շատ մեծ քանակությամբ սպամ-նամակներ: Գրողի տարած անտի-սպամ, աշխատում է գրեթե անարդյունք ու զզվել կարելի է: Իսկ առջևում Նոր Տարի է, և կարծես թե հենց մեյլ.ռու-ն ինձ “սպամ-նվերներ” էր մատուցել: Վերջապես ամոթ ա, արի ես էլ նվեր մատուցեմ “շատ սիրելի” փոստային համակարգիս:
Բայց արի ու տես, որ ինչքան էլ քրքեցի սրանց համակարգը, ոչ մի բաց չգտա: Դե ինչ, էստեղ հույս ունեմ կօգնի շատ սիրելի գուգլը: Դե քանի որ մեյլ.ռու-ն ունի շատ այլ ծառայություններ, գուցե հենց դրանց մեջ բաց տեղեր կան, և ես որոնման հարցումս ձևակերպեցի այսպես` “site:*mail.ru” : Ի պատասխան դրան, հարգարժան գուգլն իմ առջև բացեց հղումների 20 էջեր (բախտս բերեց դրանց կեսը կրկնվում էին, այլապես հոգեբուժարանում կլինեի հիմա): Լցրեցի սիրելի մեծ բաժակս սուրճով և սկսեցի ստուգել սերվիսները: Ինչքան էլ զարմանալի լիներ ինձ համար, բայց մեյլ.ռու-ի վեբ կոդեր-ները լավ էին աշխատել, քանի որ 2 ժամանոց աուդիտից հետո ես ոչ մի բաց չէի գտել նրանց կոդի մեջ: Այդ պահի դրությամբ շտկվել էին որոշ թերություններ 7ya.mail.ru սերվիսի աշխատանքում, նկարները դիտելու ժամանակ բացվում էր popup պատուհան, հիշելով հետևյալ հասցեն`
http://7ya.mail.ru/image.php?in=phot…=500&big_h=375
Ես որոշեցի այն մի քիչ տեսքի բերել և ստացվեց ահա այսպիսի գեղեցկուհի`
http://7ya.mail.ru/image.php?in=”><font color=ORANGE size=10>Russian Net Hunters – Rulezzz</font>
Ինչպես տեսնում ես, ստացվեց – Russian Net Hunters Rulezzz. Դե իսկ մեյլ.ռու-ի վերջին սերվիսներից մեկը форумы@mail.ru-ն էր: Առաջինը, որ փորձեցի, sql-ինյեկցիան էր, որն իհարկե ոչ մի արդյունք չտվեց, իսկ համակարգն ինձ ռեդիռեկտով դուրս շպրտեց մի էջի վրա, որտեղ գրված էր, որ ես գրանցված չեմ: Բայց այստեղ ուշադրությունս գրավեց շատ հետաքրքիր մի տող`
http://talk.mail.ru/login.html?target=
Փորձեցի ստուգել target փոփոխականը XSS-ի տեսանկյունից և բրաուզերիս մեջ հավաքեցի`
http://talk.mail.ru/login.html?target=”><script>alert();</script>
Շատ զարմացա և ուրախացա երբ իմ առջև դուրս թռավ պատուհան, որը նշանակում էր, որ target փոփոխականը ոչ մի ֆիլտրացիա չի անցնում: Ըհը~… ՈՒրեմն որոշված է, սարքում եմ համակարգ մուտք գործելու ֆիկտիվ էջ, որպեսզի յուզերներն իրենք իրենց ձեռքով ինձ ուղարկեն գաղտնաբառերը: Առավոտվա ժամը 5-ն էր,և նույնիսկ 5 բաժակ սուրճից հետո ահավոր քնել էի ուզում (իսկ ավելի շատ զուգարանի կարիք ունեի): Այդ պատճառով խնդրեցի իմ լավ ընկեր pixcher-ին շարունակել իմ սկսած գործը:
—— Շարունակելի —– Խնդրում եմ գրել կարծիքներ, արժե՞ արդյոք շարունակել “Մի կայքի պատմություն” բաժնի մշակումը…
Վարդ ջան, ահավոր հետաքրքիր ա շարունակությունը… սպասում եմ
)))
[...] – – նյութիսկիզբը կարող եք կարդալ այստեղ – – [...]
Շատ բարդ է կարդալը , տեսքը փոխիր ,մեջտեղի նկարը հանիր ու ավելի բաց գույն ընտրի : OK?