Эксплоит для "одноклассников"

[Черно-белый]

Ну я могу рассказать, пока его нет и выдалось пять свободных минут :smile17:

 

Для забывчивых пользователей есть возможность восстановить забытый пароль - для этого надо зайти на специальную страницу, вбить свой контактный e-mail и получить на него письмо, содержащее специальную ссылку, одним из параметров которой является специально сгенерированный для этого запроса шестизначный код. Перейдя по этой ссылке, пользователь попадает на страницу, на которой можно поменять пароль.

Проблема в том, что разработчики Одноклассников не позаботились о защите от подбора этого кода для восстановления пароля - и программа отправляет запрос на восстановление для указанного адреса эл. почты, а потом просто перебирает все коды (все числа от 100000 до 999999). Для ускорения перебора на компьютере одновременно выполняется заданное число процессов.

 

Защита от такой атаки простая - обнаружение большого числа запросов с URL для проверки кода восстановления за короткий промежуток времени и блокирование такого IP на некоторое время :smile1: (или блокирование попыток восстановления для данного адреса эл. почты на некоторое время :smile3: )

блин, тут бы вспомнить не то что пароль, а мыло, которое я указал

а заодно найти свой аккаунт, с моим ФИО, подозреваю, у меня там будет тезок пара сотен

[vbl]

Спасибо