zhenyoker сказал(а):

а зачем логин и пароль от гугла или фб, если при их вводе в гугле 99% запросит проверку а на фб 90%? нужна же куки сессия. или я чего-то не знаю?

f22 сказал(а):

А что мешает скрипту эту сессию поднять, авторизовавшись с указанными данными?
Та проверка, о которой ты говоришь, появится уже после введения "жертвой" логина и пароля.
Так что даже, если она откажется от подтверждения, данные к тому времени уже утекут.

Если ты имеешь в виду дальнейшую авторизацию, то ничто не мешает найти нужные прокси в нужной стране,
или авторизоваться через какие-то другие сервисы.

zhenyoker сказал(а):

Я имею ввиду дальнейшую авторизацию. Но прокси нормальные еще поискать надо. А что за другие сервисы для авторизации для гугла например?

f22 сказал(а):

Ты же видишь сколько сейчас сервисов у гугла: и youtube, и календарь, и таблицы, и много чего ещё.
Вполне возможно, что сейчас или потом при входе в один из них получится авторизоваться без дополнительной проверки.
Другой вариант - это возможность использования тех же учетных данных для совсем иного сервиса, где не требуется проверка вообще.

LTD сказал(а):

ТС, окажи милость, дай подсказку)

zhenyoker сказал(а):

авторизация на сервисах идет через одну и ту же форму.

zhenyoker сказал(а):

последним обновлением хрома они вроде как хешируют поле пароля, и на прозрачном прокси виден только хэш.

f22 сказал(а):

Речь не о форме. Ты можешь подключаться к сервисам не только через браузер, но и через телефон, телевизор и черт знает что ещё.
А какая реализация этого подключения есть и будет там неизвестно.
В любом случае это один из векторов атаки, использовать тебе его или нет, решай сам.

А как сайт, к которому обращается браузер, поймёт что это хеш, а не пароль?
На большинстве сайтов идёт авторизация по паролю, а не по хешу...
И не обязательно пользователь использует chrome, есть и другие браузеры.