Dziura w zabezpieczeniach skrzynek pocztowych
----------------------------------------------
Często się zdarza, że ktoś zapomni hasło do swojej skrzynki internetowej. Dla "zapominalskich" istnieje możliwość prawie w każdym serwisie kont e-mail możliwość odzyskania swojego hasła (lub założenia nowego). Służy ku temu pytanie pomocnicze ("Jak miał na imię piesek twojej babci?" albo "Co widzisz za oknem?"
to na interii.pl :)))))))) Często wykorzystywana jest informacja o dniu urodzin, kodzie pocztowym, telefonie itp.

Odzyskiwanie hasła odbywa się we wszystkich bezpłatnych serwisach automatycznie. Wypełniasz formularz potrzebnymi danymi
i dostajesz na e-mail swoje hasło, albo dostajesz możliwość zmienić swoje hasło na nowe. Wydaje się, że to jest bezpieczna droga odzyskiwania, ale W niektórych serwisach (poczta.o2.pl, gazeta.pl) istnieje dziura (możliwe, że już naprawiona, choć dla jej naprawy potrzebne by było skasować możliwość odzyskiwania hasła), która umożliwia dowolnemu użytkownikowi, który posiada konto pocztowe na tym samym serwisie i pamięta wszystkie swoje dane (login, hasło, odpowiedź na pytanie pomocnicze) otrzymać hasło dowolnego konta pocztowego.

Sposób działania.

- dane, które wpisujemy w formularzu odzyskiwania hasła, są przetwarzane automatycznie przez program-"sekretarkę", do którego istnieje dostęp przez e-mail:
[e-mail]
- możemy odzyskać swoje hasło, wysyłając na powyższy adres maila następującej treści:


--------
To: [e-mail]
From: [e-mail]
Subject: get_passw&login:mojlogin&answer:odpowiedznapytanie&send

W tekście wiadomości nie piszemy nic.
---------



Natomiast dziura polega na tym, ze jeśli po średniku (;) napiszemy prawidłowe dane (hasło i odpowiedź) konta, z którego wysyłamy zapytanie o stracone hasło (pole "From"), to robot automatycznie wyśle nam hasło żądanego konta nawet bez podania odpowiedzi na pomocnicze pytanie ?

Przykład :)
Twój adres e-mail: [e-mail], twoje hasło: qwerty, odpowiedź: "ser z dżemem"
Adres ofiary: [e-mail] (hasła nie znamy i odpowiedzi też
przecież poto chcemy się włamać)

Mail będzie wyglądał tak oto:

To: [e-mail]
From: [e-mail]
Sub: get_passw&login:ofiara23&answer:none&send;get_passw&login:haker22&answer:ser%20z%20dżemem&send


Taka �sekretarka" działa nie zbyt szybko, ponieważ robot obsługuje najpierw zapytania płynące z formularza na stronie www, a dopiero później wszystkie inne. Czasem na hasło trzeba poczekać parę dni ?