Rambler bug

[@posthuman]

Здравствуйте, Ira Sh
ecla[вырезано][e-mail]

И у вас этот user?

[@LukaSafonov]

Каждый раз рандоино.

[@posthuman]

Да уже заметил.
Спамеры могут собрать кучу адрессов написав крохотный скрипт.

[@LukaSafonov]

Тут уже дело не в спамерах, а в том что можно взломать практически любой рандомный аккаунт.

[@Popik]

Именно то, что аккаунт случайный, делает угрозу весьма незначительной.

[@ShamanWild]

А Вам было бы приятно, если бы Ваш аккаунт там выпал?

[@habracut]

>А Вам было бы приятно...

Кстати, Вам бы было приятно узнать, что хабраюзер ShamanWild является тем самым,
кто барыжил аккаунтами на хабр не так давно?

информация предоставлена небезызвестным человеком-гуглом cypa.

[@sadsanta]

И тем самым, кто собрал через этот баг 5000 мыл и поделился своим достижением на том же античате.

[@yaidiot]

А вам с сурой какая печаль?

[@LukaSafonov]

Массовый захват ящиков ни к чему хорошему не приведет. Помимо утечки данных существует большая вероятность того, что будет проспамлена вся адресная книга вредоносной программой, ложные сообщения о займе денег и т.д.

[@DIDJER]

Собрали базу из логинов которые используются часто в качестве пароля, размером в 10 мб чистого текста. А ещё по мимо этой баги, можно было проникнуть в любую почту которая рандомно выпала из этой баги, но как сказано выше — всё прикрыли.

[@habracut]

Нет. Попробуйте обновить страницу.

[@jeje]

Ох ребята и учудили :)

[@gigimon]

Если почитаете некотоыре форумы, уже выложили алгоритм и скрипты (:

[@gigimon]

ну, тут вы просто выкачиваете страницу… а там все серьезнее

[@raspezdal]

раз уж виндовый wget, то для этого и виндовый grep можно использовать…

[@gigimon]

Ну вон ниже подтвержают, уже через этот баг в ящики заходят и аськи угоняют

[@quazar]

soblaznitelnaja-gracioznaja
я в шоке от того, что иногда выходит

[@posthuman]

хорошо хоть не [e-mail]

[@commartin]

мне выпало gracioznaja-skazochnaj

Что-то подозрительно похожие адреса выпадают

[@Sincous]

На удивление уже около 50 icq номеров отобрал и написал «Добрый вечер», ответа — нет О_о
Неужели это honeypot?

[@Sincous]

UPD: Всё таки достучался до 2 людей, у одного увели icq.

[@ernt]

администрация рамблера поставлена в известность

Насколько давно? Возможно, следовало просто немного подождать, а не возбуждать юных хацкеров? :)

[@LukaSafonov]

юные хакеры и так уже достаточно возбуждены:
habrahabr.ru/blogs/infosecurity/63095/#comment_1748037

[@JustLuckyGuy]

Думаю, как обычно — съел злой хабрапарсер.

[@MrTiM]

… а заодно и хабракомментатора, судя по тому, что алгоритм так и не был выложен.

[@xqz_me]

написано же, пример на пыхе :)

[@gigimon]

я вот тоже не могу придумать ситуацию, когда бы при вспоминании пароля, надо было б выводить такое

[@andreiko]

ну наверное в запросе проверки сессии забыли WHERE :)

[@merlin-vrn]

вот и отправили бы ему письмо типа «выйди из рамблера, а то я уже трижды имел шанс у тебя почту спереть»

[@razetdinov]

Есть подозрение, что страница кешируется вместе с uid’ом.

[@hobbit19]

пипец )

[@neuotq]

ППЦ!
А upd можно было не писать, кто в теме и сам поймет, а так теперь другие начнут искать.

[@merlin-vrn]

А какой из этого следует вывод для юзеров рамблера? Им «не заходить в веб-интерфейс, пока не пофиксят» (чтобы не было их сессии активной)?

[@mgn]

Я еще на всякий случай скопировал все письма на гмэйл и удалил с ящика рамблера. Как пофиксят так вернусь :)

[@merlin-vrn]

Да я не о себе беспокоюсь, у меня отродясь там ящика не было :)
Есть люди, которым я желаю всяческого добра и счастья, о них вот…

[@mgn]

Спасибо :) А у меня есть и сейчас паника :(

[@MrTiM]

А зачем вам Рамблер?

[@mgn]

Ну так исторически сложилось, что первый ящик был на рамблере. А теперь к нему привязано очень много регистраций на разных сайтах/сервисах/системах.

[@Zhilinsky]

Бежать с таких сервисов и юзеров уводить, это очевидно.

[@polyakstar]

Там еще и поле заполняется помимо того что в правом верхнем углу:
1010101.ru/spam/2009-06-28-20-3536.png

[@grokinn]

давайте лучше поможем пользователям рамблера — пусть каждый заходящий на эту страницу нажмет «выйти» под адресом того случайного человека, тогда его сессия закроется и может быть он не попадет в базу спамеров.

[@HeadWithoutBrains]

Порефрешил, и тут мне вывело:
Ваш новый номер ICQ: 553566964

Вот спасибо =)

Блин, это что долбят программеры рамблера, что бы такое делать?

[@pietrovich]

а не курят ли то же самое разработчики Бигмира?
я уже устал получать письма со своим «новым номером ICQ». у меня их наверное уже за сотню перевалило, хотя сам я для их регистрации палец о палец не ударил.

[@Speakus]

нда… хорошо, что у меня акка на рамблере нету.

[@yuretsz]

Знамо дело — выходной. А с дому зайти и починить запрещает политика безопасности компании.

Ну это, естественно, только мои догадки.

[@amima]

В крупных компаниях обычно используется VPN для этих целей

[@merlin-vrn]

Даже в некрупных используется

[@yuretsz]

Я имел ввиду «нельзя» в административном порядке.

[@merlin-vrn]

Т.е. даже такие вот критические баги фиксить административно нельзя?

Сомневаюсь, чтобы в рамблере так было. Очень уж это совковая бюрократия, чесслово.
Скорее, программисты на дачах и на речке, не могут их дозваться :)

[@amima]

Можно просто закрыть скрипт на это время силами админов. Должны быть дежурные админы. Лучше невозможность восстановить пароль, чем уведенный ящик. Если окажется еще что у них не ведутся логи/архивы и уведенные пароли никак не восстановить, то это будет 100% фиаско рамблера, как почты.
Я подозреваю что скорее «администрация рамблера поставлена в известность» означает что отправлено письмо в саппорт, а вот саппорты как раз по выходным не работают.

[@LMik]

Мда уж, никгда к рамблеру дверия не был, а теперь и подавно.

[@LMik]

Еле открывается уже, задосили опять :)

[@danil]

«опять я тырнет не понимаю, в рамблере пытаюсь завести ящик, а там в правом верхнем углу ко мне обращаются величая разными именами с разными ящиками, кто подскажет это вообще что за муть ?»

beatr1che.livejournal.com/17605.html

поможем? :-)

[@bat]

id.rambler.ru/script/newuser.cgi
О как, еще не успел представиться…

К сожалению, на Рамблере уже есть пользователь @rambler.ru. Вы можете выбрать себе другое имя, или воспользоваться именами из предложенных ниже.

pizdasos4
pizdasos2009
pizdasos09
pizdasospizdasos
pizdasos-pizdasos
pizdasos.pizdasos

Если пользователь @rambler.ru — Вы, и Вы просто забыли пароль, воспользуйтесь службой восстановления паролей.

P.S.
Может это прикол такой (с трудом верится)?

[@beloks]

Удобно, при обновлении страницы по сути нам для базы предоставляю сразу два ящика справа-вверху ну и прямо перед глазами.

[@amima]

Удивительно что такой ахтунг висит уже 3-ий час. В Москве сейчас пробки? =)
Такое должны фиксить за 10 минут, даже если в гондурасе пьют кофе. Охранникам блин позвонить и рассказать что надо сделать.

[@dive]

млин, просто офигеть. неужели они не могут хотя бы доступ закрыть к скрипту?
левой ногой написал скрипт, посмотрим сколько успеет насчитать, пока дыру не закроют. потом отпишусь сколько насчиталось.
считать начало в 21:26.

[@amima]

Позвольте поинтересоваться, зачем Вам понадобилась эта база?

[@dive]

мне она не нужна. просто интересно сколько насчитается на момент закрытия бага. для статистики.
я имена, кстати говоря, не пишу, только email адреса.

[@amima]

Для статистики можно не писать и email адреса, а писать только +1

[@dive]

согласен, не ругайтесь только.
но если потом выснится, что выводились только определенные email'ы, к примеру, из закешированных за последние 6 часов, а также выяснится, что пароли и явки тоже уплыли, то у меня будет база и я смогу разослать попавшим в список людям письмо о том, что их аккаунт попал под раздачу.

благой порыв? (:

[@amima]

ок, верю что на хабре люди приличные

[@bat]

видимо для отсева дубликатов

[@dive]

кстати, адреса почты очень часто повторяются.

[@merlin-vrn]

Вот я и говорю — отправьте им письмо, что мол «ребят, палитесь». Наверняка сразу прочитают и испугаются :)

[@dive]

ну, не настолько ногой я писал (: дубликаты сразу выявляются и количество повторов дописывается после адреса почты.

[@darkk]

Нельзя — надо проверять потом на уникальность.

[@MrTiM]

Ну что, сколько?

[@dive]

статистика такова:
начал делать запросы в 21:26, починили в 22:28, т.е. за 62 минуты данные.
запросов к серверу, на которые я получил ответ с email'ом 14332, из них уникальных email'ов 1532, т.е. почти каждый десятый.
чаще всего были получены уникальные email адреса, но есть и такой, который попался 390 раз.
вот в графике (на бар-чарте: полосочки — количество email'ов от общей массы, «повторяется раз» — сколько раз повторилось, явно видно, что большинство email'ов были уникальными):

[@MaRio]

а бывает ещё интереснее:

[@amima]

Чем именно это интереснее?

[@MaRio]

я несколько раз обновлял страницу, и только 1 раз выпала возможность изменить пароль

[@amima]

Понял, пардон, не туда глядел.

[@merlin-vrn]

Насколько я понял, это уже СМЕНА ПАРОЛЯ клиента. Проще говоря, увод ящика.

[@MaRio]

вот именно

[@amima]

Похоже Вам уникально повезло и Вы попали на пользователя который в данный момент действительно восстанавливал пароль, и Вам досталась его сессия.

[@MaRio]

оказывается не так уж и уникально, понажимайте F5, везёт достаточно часто
не факт, что при сабмите сессия опять не сменится

[@amima]

Да уж, лучше не эксперементировать =)

[@merlin-vrn]

А про одного юзера сейчас вот такое сказало:

<p class=«txt_error»>
Слишком много запросов на восстановления пароля
</p>

<p class=«txt»>
Нами зарегистрировано слишком много запросов к системе восстановления пароля от Вас.
Пожалуйста, сделайте перерыв на несколько часов и попытайтесь вспомнить точно ответ на вопрос.
</p>

[@merlin-vrn]

Это при том, что я никаких рефрешей постоянных не делал, раз пять-шесть страничку рамблера загружал всего. Т.е. «От вас» — точно не «с вашего ip-адреса».

[@amima]

Будет очень смешно и грустно если оно проживет до утра понедельника.

[@merlin-vrn]

По-моему, смешно перестало быть и стало грустно уже час как :(

[@MaRio]

рамблер — это всегда грустно :(

[@0day]

Этот баг выложили еще днем в 13:16 на Злом — forum.zloy.org/showthread.php?t=84704
Народ там уже давно развлекается уводом асек и аккаунтов от разных сервисов

[@0day]

Так что это будет еще очень хорошо, если Рамблер этот баг к завтрашнему утру соизволит прикрыть.

[@Bug]

Я тут не причем!!!

[@MrTiM]

OMG, какой стыд!

«Разобраться. Наказать виновных. Доложить в трехдневный срок»!

[@Xalegi]

вот это жесть!!!

вот поэтому я не пользуюсь бесплатными почтовиками.

[@amima]

Подобных — нет.

[@lrom]

Пофиксили

[@xqz_me]

Всего-то 9 часов потребовалось. Жесть.

[@Xalegi]

на рекорд идут :)
или они эстонцев набрали? :)

[@FFF]

Нда… Что-то Рамблер как-то стал часто допускать подобные ошибки. Обидно.

Пофиксили, кстати.

[@antyblin]

Вроде, пофиксили уже.

[@antyblin]

Сори, не читал комменты выше.

[@za4to]

Вроде исправили!

[@yuretsz]

Знал бы, что ты собираешь, я бы тебе и свои 5 тысяч подкинул. Я просто полюбовался результатами и прибил всё.

[@SatyrArs]

А, пофиксили? А я нажал «выйти» и расстроился, что больше не появляются.

[@razetdinov]

www.computerra.ru/bitrix/admin/
Логин: webmaster
Пароль: 1234567

[@lostinfuture]

Да вы что, это место свято!

[@razetdinov]

Брешь безопасная, иначе бы не постил.

[@SKYnv]

а я читал частенько, до смены дизайна главной страницы, стал бред такой. Поэтому только компьюленту щас смотрю…

[@lostinfuture]

я тоже читать перестал, но вырос на этом журнале и трепетно к нему отношусь:]

[@rozboris]

Не обманывайте людей.

Ну или кто-то умный уже сменил пароль.
Или (самое невероятное) — пофиксили.

[@SKYnv]

пофиксили, я логинился прекрасно, потом вышел сразу так-как уважаю сие издание.

[@razetdinov]

Не обманываю, подходит любой логин/пароль из форума.

[@dive]

статистика такова:
начал делать запросы в 21:26, починили в 22:28, т.е. за 62 минуты данные.
запросов к серверу, на которые я получил ответ с email'ом 14332, из них уникальных email'ов 1532, т.е. почти каждый десятый.
чаще всего были получены уникальные email адреса, но есть и такой, который попался 390 раз.
вот в графике (на бар-чарте: полосочки — количество email'ов от общей массы, «повторяется раз» — сколько раз повторилось, явно видно, что большинство email'ов были уникальными):

[@dive]

эм, почему то два раза пост в теме появился. извините. это не я (:

[@Sincous]

У меня из 7838 e-mailов
1293 уникальных,
причем парсил я в течение 40 минут.
Это получается, что в рамблер почте он-лайн висет ~1500 человек в час О_о

[@dive]

отправил полученный список email'ов в Rambler. может быть пригодится им или смогут вернуть утраченные аккаунты владельцам.
так же попросил их осветить проблему или хотя бы дать комментарий по этому поводу.

на спам-ресурсах говорят, что смогли собрать почти миллион адресов. уже продаются даже.

[@blackst0ne]

Мне интересно, получит ли по шапке программист, допустивший такой ляп?

[@lovermann]

Кроме программиста по шапке получит целая команда людей: от тестеров по прожект-менеджеров.

[@beloks]

Главное они теперь хорошо и точно будут знать за что получили.

[@Kopart]

Почему-то это никто до сих пор не прокоментировал…

Что самое интересное глючить Рамблер стал после смерти создателя Дмитрия Крюкова