Пароль в cookie

[karnegi]

Добрый день всем. Насмотрелся разных тем, по большинству старых. В основном все говорят, что mail.ru не хранит паролей в cookie. Но все-таки, если посмотреть что есть у меня в cookie, можно ли выудить оттуда пароль?

mrcu=684F4B2DFC0C56843B9725EEBC6D; p=SWYEAN6+VQAA; t=obLD1AAAAAAIAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAABAAABAAAAAAAAAAABAAwB0QcA; c0=UHIOTQAAAANwAgEAAAAA; VID=2ecdXY332omj; searchuid=2950861261306353; __utma=102067678.1697410171.1261580858.1265294869. 1265353564.64; __utmz=102067678.1261580858.1.1.utmcsr=(direct)|ut mccn=(direct)|utmcmd=(none); Mpop=1265366000:4005705f7b6c0e6e190502190a1d00071c 05014f6a5d5e465e070504061d020173185455504c46514552 471a4f505f564310525d164047:my-email@bk.ru:; c56=UHtwSwAAAALaHQIAAAAAA8QqBQAAAAADMwEBAAAAAAMyvQ IAAAAA; c8=0IZsSwAAAAKRegEAAAAAApZcAgAAAAADxsQCAAAAAAPA9QE AAAAAANASAQAAAAACllsBAAAAAAPDhQEAAAAA; __utmc=102067678

[SEKTOR3A]

нет нельзя так не пойдет сервер даёт тебе только временную сессию ,а пароли у них хороняться на сервере в мд 5

[karnegi]

Но ведь эта временная сессия сохраняется даже после выхода из браузера. И войдя потом в него заново, я снова могу попасть в ящик.

[lmns]

Но ведь эта временная сессия сохраняется даже после выхода из браузера. И войдя потом в него заново, я снова могу попасть в ящик.
Если просто закрыл браузер, да.
А ты нажми кнопку выход, и xyй войдёшь.

[Xnamed]

да и сессия недолго живет...

[Compton]

когда то тоже задавался этим вопросом
из майловских кук пароль не достанешь

[DrakonHaSh]

Но ведь эта временная сессия сохраняется даже после выхода из браузера. И войдя потом в него заново, я снова могу попасть в ящик.
значит, немного перефразируя исходный вопрос, приходим к выводу что зато можно стырить куки и по ним (+ возможно некоторые решаемые нюансы вроде user agent) войти в чужую почту :)

[ZenstatioN]

значит, немного перефразируя исходный вопрос, приходим к выводу что зато можно стырить куки и по ним (+ возможно некоторые решаемые нюансы вроде user agent) войти в чужую почту :)
Войти по кукам можно без проблем,если человек не разорвал сессию )
Достаточно зайти через оперу в свою любую почту на мейле, и потом в менеджере куки заменить свою строчку на полученные со снифера куки Mpop=1265366000:4005705f7b6c0e6e190502190a1d00071c 05014f6a5d5e465e070504061d020173185455504c46514552 471a4f505f564310525d164047:my-email@bk.ru:;

[Texhnolyze]

Я где-то читал FAQ по краже сессии и там была тема о java скрипте,который отсылается жертве,он её открывает и это идёт тебе на сниффер.Всё сделал правильно,но приходит только IP,Хост,но никак не сессия.Пробовал на Mail.В личку могу кинуть и скрипт,но он самый простой.

Подскажите,что делать?

[Hofs]

Я где-то читал FAQ по краже сессии и там была тема о java скрипте,который отсылается жертве,он её открывает и это идёт тебе на сниффер.Всё сделал правильно,но приходит только IP,Хост,но никак не сессия.Пробовал на Mail.В личку могу кинуть и скрипт,но он самый простой.

Подскажите,что делать?
А у тебя ХСС есть?
Сниффер то стоит не на мейле,а у тебя.
А значит и сессии\кук у тебя нет.

[GHYJaxon4]

Ну что могу предложить, господа...

Что собсно собой представляет самый главный кукис:

(Надо заметить, что для разных email-ов с разными паролями - длина Mpop тоже разная.)

В твоём случае:


Mpop=1265366000:4005705f7b6c0e6e190502190a1d00071c 05014f6a5d5e465e070504061d020173185455504c46514552 471a4f505f564310525d164047:my-email@bk.ru:;

В общем случае:


Mpop=[TimeStamp (UnixTime)]:[16 символов хрени (8 байт неизвестно чего)] [19050219 (это какие-то магические символы, похоже представляющие разделитель)] [Шифрованный пароль, а может ещё и шифрованный email]:[email]:;

Что касается алгоритма шифрования - то тут только догадки. Очень похоже на алгоритм QIP 2005.

Вывод сделан из анализирования нескольких кукисов абсолютно разных email-ов

[lmns]

#Smith к чему это всё? Забей на шифрование

[ErrorNeo]

в куках майл ру нет пароля, а если и есть то никто и никогда не угадает как он там зашифрован, и тем более не расшифрует, пока не увидит cурсов самого майл-ру, отвечающих за это.

да, стырив куки на майле можно зайти другим юзером. Но про поиски там пасса лучше забыть.

Пытаться расшифровать то, что зашифровано неизвестным алгоритмом, да и неизвестно, зашифровано ли, или его вообще там нет... ) ну вы понели

[GHYJaxon4]

Я уже знаю как оно зашифровано.

Но не могу подобрать ключ.

[Konqi]

Я уже знаю как оно зашифровано.

Но не могу подобрать ключ.


а как зашифровано?

[Kusto]

Я уже знаю как оно зашифровано.

Но не могу подобрать ключ.


ребят, не майтесь фигней, кукис- это ничто иное как зашифрованный запрос к БД, в которой хранится ваш пасс в зашифрованном виде, если вы воспользуетесь поиском по форуму вы даже можете найти админские хеши которые были выведенны скулей, и поймете что ни хеша пароля, ни его самого в зашифрованном виде в куках не хранится, иначе можно было бы наплевать на сессию и авторизироваться с куками даже с дохлой сессией

[GHYJaxon4]

а как зашифровано?


Если я тебе объясню функцию, что от этого изменится?

Ты станешь вместе со мной заниматься дешифрацией и подбором ключа?

[lmns]

Если я тебе объясню функцию, что от этого изменится?

Ты станешь вместе со мной заниматься дешифрацией и подбором ключа?


ты видимо порутал сервак, спер сорцы майла, а вот слить БД не догадался

по сабжу, тебе правильно ответили, не страдай фигнёй.

[control]

Мне от этой темы уже плохо. Всё верно - маетесь неизвестно чем - фигнёй одним словом. В печенье ничего нет.

[Konqi]

Если я тебе объясню функцию, что от этого изменится?

Ты станешь вместе со мной заниматься дешифрацией и подбором ключа?


ну я в этом особо не шарю,просто буду благодарен за информацию а то круто знать какой алгоритм юзает мейл

[shell_c0de]

а я вам намекну что он где то прав =)