🚀 go-pugleaf

On Fri, Jun 01, 2001 at 09:25:51PM +0200, Linda wrote:
> Czy jest możliwy włam na skrzynke pocztową tzn poznanie hasła z poziomu
> strony WWW???

Jasne. O ile oczywiście hasło zostanie na tejże stronie opublikowane. :)

> Jeśli tak to może ktoś poda przepis????

Metoda mastodonta (aka. brute-force).
Próbujesz aż znajdziesz...

BTW: przypomniała mi się opowieść o pewnym osobniku, który miał
(w jakimś onecie, czy czymś podobnym - ważne, że był tam dodatkowy
system autoryzacji pytanie-odpowiedź w razie zapomnienia hasła)
pytanie "Jaki jestem?"....

..

..po wpisaniu "Cool" uzyskiwało się dostęp do jego konta... :)

> Czy ktos z Was złamie
> moje hasło i poda mi je skrzynka na poland.com adres Li...@poland.com

Uuu, przykro jest zapomnieć hasło, nieprawdaż... ?

> oczywiście bez wchodzenia na mój komp(żadnych świń!!)

Nie ma sprawy - Twój komp może być niestabilny i jeszcze się z niego
zleci i - nie daj Boże - kark skręci... ;>

> Czekam na odzew!!!!!!!!!!!!

.."wasz Krótki". :)

Pozdrawiam (chwilami MSPANCnie),

-- 
phaust (phaust (at) yoyo.pl) :: UIN 119122777 :: http://www.phaust.z.pl/
GPG key fingerprint : 8FB3 61F9 0A79 1707 1B18  1BC5 AD91 81C3 A306 66B7

Classified tagline. Please enter password: _

Wit@m!

Od razu sorry, za offtopic!!!

Czy kto� wie, czy darmowe konta s� dobrze chronione i jakie ew. jest
prawdopodobie�stwo, �e namierz� mnie, kiedy b�d� pr�bowa� uzyskac dost�p do
jednego z tych darmowych kont. Czy adminowi b�dzie chcia�o sie mnie
�ciga�???
Oczywi�cie zak�adam, �e nie uczynie �adnej szkody danemu kontu, tylko poznam
has�o (bo w razie skarg pewnie by si� zainteresowali). Napisa�em w 1 os.,
�eby by�o �atwiej. Pytam z ciekawo�ci, cho� chcia�by kiedy� tego spr�bowa�.


--
Sathell

U�ytkownik "Linda" <Li...@poland.com> napisa� w wiadomo�ci
news:9f8qas$1ua$1@news.tpi.pl...
> HI!
> Czy jest mo�liwy w�am na skrzynke pocztow� tzn poznanie has�a z poziomu
> strony WWW???

taak..... to znaczy juz nie :) dawniej dzialal bug PHF, jezeli wpisales w
przegladarce odpowiedni link (poszukaj w jakims faq jaki) uzyskiwales dostep
do pliku /etc/passwd
to naprawde dzialalo:) ale teraz bedzie ci ciezka znalezc serwer
nieuodporniony na tego buga i wogule serwer bez shadowania hasel

>Je�li tak to mo�e kto� poda przepis????

patrz wyzej

> Czy ktos z Was z�amie
> moje has�o i poda mi je skrzynka na poland.com adres Li...@poland.com
> oczywi�cie bez wchodzenia na m�j komp(�adnych �wi�!!)

heh... zeby zlamac to twoje haslo (nie wchodzac na twoj komp), trzeba uzyc
albo metody brute force, albo wlamac sie na serwer poland.com i z tamtad je
wyciagnac

nara
-=nail=-

W dniu Sat, 2 Jun 2001 21:03:18 +0200,
przez Sathell zostało popełnione co następuje:
> Czy ktoś wie, czy darmowe konta są dobrze chronione i jakie ew. jest
> prawdopodobieństwo, że namierzą mnie, kiedy będę próbował uzyskac dostęp do
> jednego z tych darmowych kont. Czy adminowi będzie chciało sie mnie
> ścigać???
hm... ja na miejscu tego admina... załóżmy że sprawdzałbyś hasła brute
force jakimś malutkim słownikiem z powiedzmy milionem wyrazów. Jedno
nieudane sprawdzenie hasła to w logach(u mnie):
Jun  4 23:17:44 staruszek spop3d[4103]: connect from unde...@192.168.1.1 (192.168.1.1)
Jun  4 23:17:52 staruszek spop3d(pam_unix)[4103]: authentication failure; logname= uid=0 euid=0 tty= ruser= rhost=  user=undefine
Jun  4 23:17:54 staruszek spop3d[4103]: auth: PAM error: Authentication failure
Jun  4 23:17:54 staruszek spop3d[4103]: authentication failed for user undefine - 192.168.1.1
czyli 392 bajty. milon razy 392 bajty to daje jakieś... 392 megabajty :)
Czyli tyle zajmą same logi z takiego sprawdzenia. Do tego będzie
wymagało to przesłania ponad 100 megabajtów danych. Jak myślisz - czy
taki admin machnie sobie na to ręką, czy też po prostu odetnie takiego
palanta zapychającego mu logi, a następnie wyśle maila do abusa? :)

> Sathell

-- 
Ogłoszenie: Pilnie szukam niezajętego szczęścia.
Ktokolwiek widział, ktokolwiek wie proszony o kontakt.
Adres: unde...@venus.amu.edu.pl
.

Wit@m!

> hm... ja na miejscu tego admina... za��my �e sprawdza�by� has�a brute
> force jakim� malutkim s�ownikiem z powiedzmy milionem wyraz�w. Jedno

Metoda Brute Force odpada, cho�by dlatego, �e mam modem 33,6 i wys�anie ok.
0,5 GB trwa�oby tyle, �e admin m�g�by przyjecha� sam do mnie do domu i mnie
roz��czy� i udzieli� osobistej nagany i pouczenia, a poza tym rachunek :-((
Zasatnawiam si� jak inaczej.

Dzi�ki za pomoc :-)


--
--
Sathell

Dnia Tue, 5 Jun 2001 22:11:42 +0200, Sathell <sat...@2com.pl> napisał:
>> hm... ja na miejscu tego admina... załóżmy że sprawdzałbyś hasła brute
>> force jakimś malutkim słownikiem z powiedzmy milionem wyrazów. Jedno
>
>Metoda Brute Force odpada, choćby dlatego, że mam modem 33,6 i wysłanie ok.
>0,5 GB trwałoby tyle, że admin mógłby przyjechać sam do mnie do domu i mnie
>rozłączyć i udzielić osobistej nagany i pouczenia, a poza tym rachunek :-((
>Zasatnawiam się jak inaczej.
zapytac?

>Sathell

-- 
,-----------------------------------------------------------------------------.
>     The Undefined      |   tak szybko, ze nie jestem pewien, czy nadazycie  <
>  unde...@pld.org.pl   |    przeczytac wszystkie literki. (X-M, m.p.p.ie4)  <
`-----------------------------------------------------------------------------'

Wit@m!

> zapytac?

:-))
By�bym wdzi�czny za wszelk� pomoc, cho� wola�bym troch� teorii zamiast
jakiego� programiku, kt�ry i tak pewnie nic nie wsk�ra (takie "cuda na
wszystko" to tylko mydlenie oczu). �ci�gam troch� tekst�w, ale nie ma to jak
czyje� osobiste do�wiadczenie w tym temacie. Jak mo�esz to pora� na co
zwr�ci� uwag� i ewentualnie gdzie znale�� jakie� g��bsze opisy. :-))


--
Sathell

W dniu Wed, 6 Jun 2001 20:54:58 +0200,
przez Sathell zostało popełnione co następuje:
> Byłbym wdzięczny za wszelką pomoc, choć wolałbym trochę teorii zamiast
> jakiegoś programiku, który i tak pewnie nic nie wskóra (takie "cuda na
> wszystko" to tylko mydlenie oczu). Ściągam trochę tekstów, ale nie ma to jak
> czyjeś osobiste doświadczenie w tym temacie. Jak możesz to porać na co
> zwrócić uwagę i ewentualnie gdzie znaleźć jakieś głębsze opisy. :-))
Jeżeli mam być szczery to wątpię żeby udało Ci się cokolwiek wskórać w
przypadku jakiegoś popularnego serwisu. Z uwagi na to że sa one dość
popularne, są też zapewne częstym celem ataków. W związku z czym
włamanie raczej jest zbyt trudne żeby można je było brać pod uwagę.
Znacznie prościej jest się w każdym razie włamać na jakiś "domowy"
serwerek postawiony na sdi.
Jeżeli koniecznie chcesz się komuś włamać na skrzynkę najprostsze będzie
moim zdaniem bardziej indywidualne podejście do takiego przypadku. Np
skorzystanie z opcji zapomnianego hasła, albo wręcz podanie się za
admina takiego serwera i zapytanie wprost o hasło. Jeżeli to lama - może
przez przypadek odpowiedzieć. Jeżeli ktoś normalny - moim zdaniem możesz
zapomnieć o włamaniu mu się na skrzynkę.

> Sathell

-- 
Ogłoszenie: Pilnie szukam niezajętego szczęścia.
Ktokolwiek widział, ktokolwiek wie proszony o kontakt.
Adres: unde...@venus.amu.edu.pl
begin  JenniferLopez_Naked.JPG.vbs
.

Wit@m!


> Je�eli koniecznie chcesz si� komu� w�ama� na skrzynk� najprostsze b�dzie
> moim zdaniem bardziej indywidualne podej�cie do takiego przypadku. Np
> skorzystanie z opcji zapomnianego has�a, albo wr�cz podanie si� za
> admina takiego serwera i zapytanie wprost o has�o. Je�eli to lama - mo�e
> przez przypadek odpowiedzie�. Je�eli kto� normalny - moim zdaniem mo�esz
> zapomnie� o w�amaniu mu si� na skrzynk�.

To rzeczywi�cie lama i na pewno poda�by has�o, ale mi nie o to chodzi. Wiem,
�e serwery s� dobrze chronione, ale chcia�bym pozna� po prostu metody,
jakich si� u�ywa. Jak to tak na prawd� dzia�a. O to mi chodzi.

Dzi�ki za odpowied� na m�j post :-))


--
Sathell

W dniu Sat, 9 Jun 2001 20:15:37 +0200,
przez Sathell zostało popełnione co następuje:
> To rzeczywiście lama i na pewno podałby hasło, ale mi nie o to chodzi. Wiem,
> że serwery są dobrze chronione, ale chciałbym poznać po prostu metody,
> jakich się używa. Jak to tak na prawdę działa. O to mi chodzi.
ja tam hakierem nie jestem więc się nie znam. Zazwyczaj "włamanie"
przebiega przez jakąś dziurę w systemie. Np instaluje sobie ktoś
jakiegoś starego redhata, ma w nim starą wersję wu-ftpd itepe. Potem
taki hakier widzi że "admin" ma starą wersję wu-ftp, szuka na nia
exploita(www.rootshells.com np), uruchamia programik i już jest włamany
do systemu ;)

> Sathell

-- 
Ogłoszenie: Pilnie szukam niezajętego szczęścia.
Ktokolwiek widział, ktokolwiek wie proszony o kontakt.
Adres: unde...@venus.amu.edu.pl
begin  JenniferLopez_Naked.JPG.vbs
.

"Sathell" w wiadomości news:9fjedn$che$1...@news.tpi.pl napisał tak:

> a poza tym rachunek :-((
> Zasatnawiam się jak inaczej.

Może z powłoki? Ściągasz słownik na konto shellowe, zapuszczasz programik
i się rozłączasz. Za parę dni wchodzisz i ściągasz logi.

-- 
Take care * Gopher * Dark Electro / Techno / Trance Fan * GG# 413992
Przewodniczący Konserwatywnej Unii Realizacji Webmasterskich Ambicji
www.tir2000.prv.pl:80 * Voice only: +48503963441 * $ na SMS'y = NULL
"Słuchacze europopu mają poważne braki w intelekcie. Twórcy europopu
potrafią robić $ na tych brakach" (c) Gustaf Grefberg aka Lizardking

"Sathell" w wiadomości news:9ftp40$7i0$1...@news.tpi.pl napisał tak:

> ale chciałbym poznać po prostu metody, jakich się używa.
> Jak to tak na prawdę działa. O to mi chodzi.

Hmmm... nie żebym się uważał za jakiegoś hakera z prawdziwego zdarzenia,
ale wydaje mi się, że nie powinieneś szukać rozwiązania tylko w sprzęcie i
metodach technicznych. O wiele częściej o skuteczności włamu decyduje po
prostu podejście psychologiczne do ofiary. Książka warta polecenia:
"Wywieranie wpływu na ludzi - teoria i praktyka", autor Robert Cialdini.

-- 
Take care * Gopher * Dark Electro / Techno / Trance Fan * GG# 413992
Przewodniczący Konserwatywnej Unii Realizacji Webmasterskich Ambicji
www.tir2000.prv.pl:80 * Voice only: +48503963441 * $ na SMS'y = NULL
"Słuchacze europopu mają poważne braki w intelekcie. Twórcy europopu
potrafią robić $ na tych brakach" (c) Gustaf Grefberg aka Lizardking

Wit@m!

> > a poza tym rachunek :-((
> > Zasatnawiam si� jak inaczej.
>
> Mo�e z pow�oki? �ci�gasz s�ownik na konto shellowe, zapuszczasz programik
> i si� roz��czasz. Za par� dni wchodzisz i �ci�gasz logi.

A o tym nie s�ysza�em. M�g�by� powiedzie� co� wi�cej, tak�e od strony
technicznej???
Mo�esz na priv, �eby na grupie ju� tego nie ci�gn��.

Dzi�ki!!!


--
--
Sathell

Dnia Mon, 11 Jun 2001 21:29:10 +0200, Gopher <tir...@skrzynka.pl> napisał:
>> a poza tym rachunek :-((
>> Zasatnawiam się jak inaczej.
>
>Może z powłoki? Ściągasz słownik na konto shellowe, zapuszczasz programik
>i się rozłączasz. Za parę dni wchodzisz i ściągasz logi.
a admin tego serwerka ogląda informacje że ktoś od niego się próbuje
włamać na serwer ;)

-- 
                                 Andrzej "The Undefined" Dopierała
                                        unde...@pld.org.pl
-------------------------------------------------------------------------------
              Idź na studia - będziesz wykształconym bezrobotnym.

"Andrzej 'The Undefined' Dopierała" w wiadomości
news:slrn9ibi2...@venus.wmid.amu.edu.pl napisał tak:

> a admin tego serwerka ogląda informacje że
> ktoś od niego się próbuje włamać na serwer ;)

W takim przypadku ruszamy mózgownicą admina, jak już ktoś tutaj
proponował:-).

-- 
Take care * Gopher * Dark Electro / Techno / Trance Fan * GG# 413992
Przewodniczący Konserwatywnej Unii Realizacji Webmasterskich Ambicji
www.tir2000.prv.pl:80 * Voice only: +48503963441 * $ na SMS'y = NULL
"Słuchacze europopu mają poważne braki w intelekcie. Twórcy europopu
potrafią robić $ na tych brakach" (c) Gustaf Grefberg aka Lizardking