www.email.it

[Stex75]

A me non ha perso nulla e ora mi sono arrivate tutte le mail e le notifiche di risposta....
Speriamo abbia cominciato a funzionare correttamente ora!!!

Ciauz!!

[xcdegasp]

Originariamente inviato da Stex75
Scusa l'ingnoranza, ma puoi spiegarti?

è semplice la questione...
ilo sid è ad esempio composto in questo modo:
http://wm.email.it/webmail/frame.php?sid={40929C04E7F12-40929C04ECD2C-1083350020}&folder=inbox&pag=1

e serve a mantenere attiva la connessione nelle fasi di gestione della webmail quindi viene assegnato in fase di login.
Il sid sono qui campi che compaiono dopo il punto interrogativo quindi è:
sid={40929C04E7F12-40929C04ECD2C-1083350020}
e viene generato dallo script "frame.php".

Ora dobbiamo porre la nostra attenzione su questi campi:
40929C04E7F12-40929C04ECD2C-1083350020
che sembrano indecifrabili e poco intuitivi..
Il terzo campo (quindi 1083350020) è generato dalla funzione time() di php e non è altro che il numero di secondi trascorsi dal 1° gennaio 1970 ad oggi espresso in decimali mentre i primi 8 caratteri dei primi due campi (40929C04xxxxx-40929C04xxxxx-1083350020) sono il risultato della conversione del valore del terzo campo in esadecimale infatti se convertiamo 1083350020 (valore decimale) in esadecimale otteniamo proprio 40929C04.

Ora non ci rimane altro che calcolare i 5 caratteri rimanenti del primo e secondo campo e siamo ad un ottimo punto per poterlo fare con un "Bruteforce", ci impiegheremmo veramente poco...

Ma perchè usare maniere cattive quando lo si può fare con modi delicati e gentili?
Basta creare uno script ad ok pubblicarlo su un serverweb e creare un sito solo per attirare la vittima.. (HTTP_DEFERER)
Come funziona la trappola?
Semplicissimo, creamo un'email in cui inseriamo il link allo script che avrà il compito di "rubare" il sid della vittima, tale link dovrà reindirizzare, in modo trasperante, la vittima sul sito "fasullo" (ovviamente l'email dovrà invogliare la vittima a clickare sul link).. ora lo script ci comunicherà il sid "attivo" della vittima, noi non faremo altro che salvarcelo e inserirlo nel link della casella email..
esempio:
http://wm.email.it/webmail/frame.php...er=inbox&pag=1
nella parte tratteggiata inseriremo il sid recuperato dallo script.

Come risolvere il bug?
Inserire il sid nei cookies oppure criptarlo... in ogni caso anche se fosse inserito nei cookies non sarebbe sicuro al 100% perchè basterebbe sfruttare le falle di IE (nel caso fosse poco aggiornato) per poter riuscire cmq a rubare il sid..

Ora avrai sicuramente le idee più chiare...

[Xtian]

Originariamente inviato da xcdegasp
è semplice la questione...
[cut]
Ora avrai sicuramente le idee più chiare...

Mhh, non tanto
Ma va bene lo stesso


Morale e' che cmq han fatto un lavoro di cacca visot che dopo quasi una settimna non riesco ad accedere via pop (o anche via imap) pur avend provato anche a ricreare l'account

[xcdegasp]

Originariamente inviato da Xtian
Mhh, non tanto
Ma va bene lo stesso


Morale e' che cmq han fatto un lavoro di cacca visot che dopo quasi una settimna non riesco ad accedere via pop (o anche via imap) pur avend provato anche a ricreare l'account

aveva avuto lo stesso identico problema a Febbraio una testata giornalistica d'informatica con le proprie email (quelle date gratis agli iscritti della loro comunità). Tale testata era HackerJournal ed avevano appunto pubblicato sul numero 45 (febbraio 2004) il motivo di tale bug e come sarebbe stato sfruttato per hackerrare le caselle email free..
Lo hanno appunto pubblicato perchè visto che era sfuggito pure a loro avrebbero però in questo modo dato la possibilità ad altri di non ricadere nello stesso errore e prevenire tali problemi...

Sicuramente hanno fatto il lavoro di fretta e fuggi e senza constatare a priori le problematiche in cui sarebbero incappati, probabilmente hanno dovuto migrare nella nuova piattaforma in "modo forzato" e non avevano ancora chiara la situazione che si sarebbe creata.. mi auguro che sia questa la causa perchè partire così a mille con una piattaforma sviluppata su segnalazione dei bug degli utenti mi sembra "infantile" e sopratutto poco professionale... (mi sembra di vedere gli "applicativi" con cui ho a che fare sul lavoro, alcuni non sanno neanche come è strutturata la loro applicazione e sopratutto che ruolo hanno i vari oggetti... non a caso continuo a dover essere reperibile ogni weekend )

a me oggi non rifunge!

[Leron]

anche a me non va

[thefrog]

a me non mi funziona più un beneamato Caxxo nemmeno da web, gli do altri 2 giorni poi li mando a fanc#lo e mi faccio la casella da un altra parte......
almeno lo potevano propvare il "servizio" nuovo............

[Ttt]

Anche a me nisba stamattina

[Zebiwe]

Anche a me, dopo un week-end in cui funzionava benissimo, è ritornata down..addirittura outlook mi da che il server potrebbe aver interrotto la connessione.
Almeno prima me la faceva l'autenticazione

mo me so arrivate millemila email da emai l

[canapa]

Confermo oggi è tutto bloccato.
Ho provato anche tramite web ma niente da fare.

[thefrog]

sono entrato!!!sono entrato nella casella!!!!!
ora non fa più entrare ma io sono entrato circa 5 minuti fa, e veroddio non esco per tutto il pomeriggio!!!!!

ora c'è l'avviso!!!

[kaioh]

manutenzione fino alle 16 di oggi .
Spero che sia l'ultimo .

[Zermak]

Originariamente inviato da kaioh
manutenzione fino alle 16 di oggi .
Spero che sia l'ultimo .

Lo spero veramente

Ciao!

[Zebiwe]

Speriamo!

[Ttt]

Originariamente inviato da kaioh
manutenzione fino alle 16 di oggi .

Ora c'è scritto fino alle 17.30
e ovviamente neanche con Outlook si scarica....

[Zebiwe]

Che non vada sono d'accordo...ma l'ora dov'è che leggete? Sarò ma non la vedo.. (nell'avviso si parla solo della necessità di aggiongere @email.it al nome utente..)

[Ttt]

Originariamente inviato da Zebiwe
Che non vada sono d'accordo...ma l'ora dov'è che leggete? Sarò ma non la vedo.. (nell'avviso si parla solo della necessità di aggiongere @email.it al nome utente..)

la leggi dopo che fai il login (inserisci user e pass).

[Zermak]

Mi auguro che per domani abbiano finito

Ciao!

[megabit]

speriamo