alizar 22 авг 2008 в 17:31

The Middler: программа для взлома незащищённых аккаунтов Gmail

2 мин

16K

Информационная безопасность*

+142

Комментарии 87

НЛО прилетело и опубликовало эту надпись здесь

nihi_l_ist 22 авг 2008 в 17:37

Спасибо за статью… Незнал =(… Безопасность дороже всего.

rapida 22 авг 2008 в 18:33

так Defcon прошел только 2 недели назад, до этого The Middler не светился, вы не могли знать

EvRiaL 22 авг 2008 в 17:50

Поправьте ссылочку на программу The Middler

fonzi 22 авг 2008 в 18:46

Ко всем ссылкам с https:// тут с некоторых пор пририсовывается http://

Shoohurt 22 авг 2008 в 18:02

Прямо вижу, как хабрапользователи в едино порыве понеслись в настройки ящика ставить заветную галочку :)

nAggOHOK 22 авг 2008 в 18:12

Там RadioButton =) только что проверил.

НЛО прилетело и опубликовало эту надпись здесь

nps 22 авг 2008 в 20:49

Вот и не в едином, в миниопере (четвертой) при этой функции вечно напоминает что браузер не так хорош, поэтому проще ссылку поменять на https.
Ведь одинаково же выходит?

НЛО прилетело и опубликовало эту надпись здесь

khim 22 авг 2008 в 21:31

Почти наверняка подвержены. Другое дело что скрипт может потребоваться чуток подправить.

НЛО прилетело и опубликовало эту надпись здесь

Cancel 22 авг 2008 в 23:46

Если сеть настроена криворукими админами (а такое бывает в небольших сетях), то доступ ко всему трафику на свиче/хабе может получить любой подключенный к этому свичу/хабу компьютер.

НЛО прилетело и опубликовало эту надпись здесь

Cancel 24 авг 2008 в 16:10

Согласен, невнимательно читал. С GPRS такое действительно не прокатит.

achurkin 23 авг 2008 в 13:05

Знаешь, я работал в компании с такой сетью. Сам с помощью man in the middle перехватывал трафик любого человека моего VLan. А проблема была совсем не в криворукости админа — а в нежелании руководства выделять деньги на развитие сети.

alprk 23 авг 2008 в 02:10

Ошибаетесь на счет руби.

Guria 23 авг 2008 в 14:15

Это для него не шибко важно. Для него смысл тот же — это интерпретируемый язык (ну или программа на нём). А ещё он ошибается в том, что к интерпретируемоиу языкунельзя прикрутить снифалку трафика. Лишь бы было, что снифить. А вот в ГПРС сети это действительно проблематично, только если у оператора.

nps 22 авг 2008 в 22:18

Так оттуда же нельзя будет открывать ссылки в оперу… Или там лучший браузер?

НЛО прилетело и опубликовало эту надпись здесь

nps 22 авг 2008 в 23:30

Тем более когда соотношение всяческих уведомлений к простым письмам где-то двадцать к одному, так что это перспектива на будущее, когда будет мобильник с полноценным стандартным браузером)

up01 22 авг 2008 в 21:07

/me оглянулся
Кажется за мной следят :)

RJD2 23 авг 2008 в 14:10

Я полез проверить, стоит галочка =)

dmitskevich 22 авг 2008 в 18:07

gmail notifier перестал работать

dmitskevich 22 авг 2008 в 18:10

*Note: If you've enabled the 'Always use https' setting in Gmail, you'll need to install a patch for the Notifier to work with this setting:
www.google.com/mail/help/downloads/notifier_https.zip

caxep 22 авг 2008 в 18:19

Спасибо вам, а то я уж было расстроился =)

НЛО прилетело и опубликовало эту надпись здесь

k_s 22 авг 2008 в 18:12

используй GTalk

spanasik 22 авг 2008 в 19:12

используй силу, Люк :-)

pento 24 авг 2008 в 01:33

Используйте POP3+SSL

aib 22 авг 2008 в 18:31

А кроме него еще и мобильный gmail не работет. По крайней мере который для симбиана — не знаю насколько Java версия отличается.

aib 22 авг 2008 в 18:34

Лопухнулся — там надо в настройках приложения тоже включить https и перезагрузить апликуху.

ice9 23 авг 2008 в 16:16

Странно, у меня работает без проблем. Версия 0.6.3.8

Fiery_Ice 23 авг 2008 в 19:46

Как по мне — так не велика потеря: у gmail manager функционал повыше будет.

Fiery_Ice 23 авг 2008 в 19:53

Или имелась ввиду отдельная прога?

luf 22 авг 2008 в 18:17

Поправьте адрес на https://mail.google.com
Плюс можно вводить более короткий https://gmail.com

НЛО прилетело и опубликовало эту надпись здесь

IntenT 22 авг 2008 в 18:21

а что, много злоумышленников имеют доступ к гейтвеям вашей сети, прова или оператора, с правами установки софта?

Что-то новость какая-то не впечатляющая. Или никто раньше не слышал про снифферы?

luf 22 авг 2008 в 18:26

Люди имеют обыкновение складывая 1 и 1 получать не 2, а 1+1.
А вот что действительно интересно — это патч для Gmail Notifier. Я его раньше не находил.

IntenT 22 авг 2008 в 18:30

Middler — патч к нотифаеру?? 0_о
может, вы каментом ошиблись? )))

luf 22 авг 2008 в 18:32

Нет :) Я не об этой поделке, я о habrahabr.ru/blogs/web_security/37792/#comment_888685

oogl 23 авг 2008 в 12:55

1. Доступ имеют админы прова, среди которых далеко не все порядочные люди с благими намерениями. Так же доступ легко получить подменив локльной сети на чердаке дома на свой сервак.
2. Одно дело гипотетический сниффер, другое дело готовый опенсурсный анализатор трафика, который показательно расправляется с защитой.

Cosmonaut 22 авг 2008 в 18:33

цитирую:
Дело в том, что SSL всегда используется в Gmail и других сервисах только во время аутентификации. Если вышеупомянутая опция (“Always use https”) не активирована, то после аутентификации SSL отключается

Не отключается, если изначально входить через HTTPS:

https://mail.google.com

Желающие могут проверить, вставив фиктивный прокси для протокола HTTP В настройках браузера.

Опция появилась раньше, сам лично наблюдал ее еще весной.

luf 22 авг 2008 в 18:35

На разных аккаунтах у гугла в разное время появляются новшества. Впервую очередь на англоязычных и старых(тут не уверен).

Pure_BY 22 авг 2008 в 18:38

Если вам нужно использовать защищённое соединение только изредка, то в этих редких случаях можете заходить в ящик с адреса mail.google.com, и тогда SSL работает в течение всей сессии, даже если опция не активирована.

Должно быть: «с адреса https:// … », подправьте пожалуйста.

Pure_BY 22 авг 2008 в 18:42

Кстати, ещё одна ошибка, но маловажная: правильно «в течении» ;-)

mberkut 22 авг 2008 в 18:52

Товарищ, вы заблуждаетесь. Как раз таки тут «в течение», ибо имеется ввиду промежуток времени, «в течении» будет употребляться, когда течение выступает в роли существительного, например, в течении реки, а здесь «в течение» производный предлог.
Маловажно, но все же :)

Pure_BY 22 авг 2008 в 19:16

> SSL работает в течение всей сессии
Какой это по вашему падеж?

mberkut 22 авг 2008 в 19:22

Да это производный предлог, поймите же, устойчивое сочетание, нет тут падежа, предлог это, предлог :)
Погуглите, а то тут объяснять оффтоп какой-то.

Pure_BY 22 авг 2008 в 19:40

Вы, оказывается, правы! А я всю жизнь думал, что слово «течение» склоняется в соответствии с падежами, в том числе и в данном контексте.

Что ж, чему-то научился сегодня.
Мои извинения за твердолобство.

preprocessor 22 авг 2008 в 21:38

это два разных слова, имейте ввиду.

elfiki 22 авг 2008 в 19:40

Как раз-таки «в течение времени», но «в течении реки»…

naething 22 авг 2008 в 19:41

Пруфлинк: gramota.ru/spravka/rules/? rub=gl&text=19_12 (параграф 47).

Pure_BY 22 авг 2008 в 19:45

В линке у вас пробел — не грузится. Без пробела — тоже. Но я уже и так понял, что был не прав. Точнее, понял я это ещё не до конца, но я узнал, что был не прав.
Сейчас вот стараюсь и понять.

naething 23 авг 2008 в 12:56

Извините, это парсер порезал зачем-то. Вставлял ссылку прямо из адресной строки.

kolyan2008 22 авг 2008 в 18:56

да нет, таки вы ошибаетесь, хоть это и маловажно :)
правильно как раз «в течениЕ»

Fanta 22 авг 2008 в 18:39

а в Google API еще нету такой фичи :(

zloydadka 22 авг 2008 в 18:48

Да и не только такое можено написать на ruby, воспользовавшись гемом Mechanize

вот как можно из самой программы(самое прсото что можно сделать, после тупого выдирания контента) зайти на сайт и заполнить формочку:
form = page.forms.first # берем первую попавшуюся форму и все инпуты доступны нам сразу же через хеш

form['name'] = 'Zloydadka'

form.submit # отправляем )))

maksymgrytsenko 22 авг 2008 в 19:16

Да. Даже Гугл, оказывается, не идеален. безопасность прежде всего!
Спасибо автору!

Morro 22 авг 2008 в 19:29

Спасибо автору. Пошол включать “Always use https”!

URANUS 22 авг 2008 в 19:39

А есть способ включить в апсах такую же фишку?
Например хитровыдуманной ссылкой?

mkaz 22 авг 2008 в 20:12

Если хитровыдуманная и существует, о ее наличии честному люду ничего не известно.

thecoder 22 авг 2008 в 20:25

Как хорошо, что с самого начала, практически несколько лет назад, закинул на панель закладок адрес https://

Сессии вообще слабое место практически любого сайта.
Например в сапе долгое время действовал uid сессии даже после смены пароля(!)

НЛО прилетело и опубликовало эту надпись здесь

mgarkunov 22 авг 2008 в 21:13

Для Firefox есть хорошее расширение CustomizeGoogle, которое позволяет переключить большинстве сервисов на https, где это возможно.
А так, получается дырка на других сервисах, с помощью которой можно вскрыть любой Gmail ящик :)

Guria 23 авг 2008 в 14:26

Кстати не всегда будучи залогиненым на одном изсервисов гугла без авторизации пускает на другой. Иногда он дополнительно спашивает пароль, напрример это касается истории запросов.

gooffy 22 авг 2008 в 23:02

123

gooffy 22 авг 2008 в 23:02

234

НЛО прилетело и опубликовало эту надпись здесь

Holy_Cheater 22 авг 2008 в 23:24

тест отрицательный

vilgeforce 23 авг 2008 в 00:22

Фигня какая-то… Вот сижу я в гугле по незащищенному каналу. Как мой сосед, Вася Пупкин при помощи этой проги мою почту будет читать?

Давайте тогда уж вспомним про ARP-спуфинг, который и защищенные соединения позволит перехватывать…

maserg 23 авг 2008 в 01:20

вот и я подумал… ребята написали снифер на руби и куков насниферили? о да, это большой прорыв…

что дальше? они начнуть сниферать pop3 и smtp?

vilgeforce 23 авг 2008 в 01:27

Ну да. Если в 8 (вроде в восемь) кило умудряются упихать прогу, которая снифает весь траффик с машины и еще выделяет из него почтовые адреса и пароли, то эта «прграмма» — фигня какая-то :-)

Requilence 23 авг 2008 в 00:50

«вмешательство в процесс апдейта программного обеспечения на ПК и iPhone»
Интересно… а поподробнее можно?

agathis 23 авг 2008 в 01:27

Файрфоксный плагин CustomizeGoogle имел галочку «принудительно использовать https» уже фиг знает когда. И параноики типа меня пользовались :)
А на публичных хотспотах и вовсе лучше весь свой трафик шифровать. Это, к примеру очень просто, если есть ssh-логин куда-нибудь.