blogo, informazione indipendente
Logo Blogosfere

Ottenere informazioni degli utenti Yahoo!

Gianni Amato avatar Lunedì 5 Marzo 2007, 16:04 in Exploit, Privacy, Web/Tech di Gianni Amato
Quando compiliamo una form per la registrazione di un account Yahoo! ci viene chiesto di riempire i campi riguardanti informazioni personali come il nome e cognome reale, la username che vogliamo utilizzare e un indirizzo email alternativo.
 
Queste informazioni vengono caricate nella fase di login e trasferite, attraverso la variabile ".data" che contiene una stringa codificata in base64, ai servizi e alle pagine del portale tutte le volte che le visitiamo, fino al logout. Una sorta di "pass temporaneo" che contiene informazioni personali sull'utente loggato.
 
La richiesta di validazione della sessione con trasferimento della stringa codificata in base64 entra in gioco solo se viene specificata la variabile ".pc" assegnadogli il valore "5134" seguito dall'url della pagina web di destinazione (l'indirizzo deve necessariamente appartenere a Yahoo!).
 
 
Ecco il risultato:
 
http://www.yahoo.com/?.data=LnlpZCUzZ(stringa-base64)
 
Attraverso un redirect insolito "uk.wrs.yahoo.com" è possibile dirottare le informazioni verso un'altro indirizzo in modo da registrare i valori trasmessi per poi decodificarli utilizzando questa utility o un semplice script php come questo fornito da Matteo:
 
<?php

if(count($_GET)>0)
{
 foreach($_GET as $k => $var)
 {
  echo $k.' => '.(urldecode(base64_decode(

$var)));
  echo '<br />';
 }
}
 
?>
 
Clicca qui per vedere il risultato (è solo un esempio, le informazioni non vengono memorizzate).
 
Ringrazio RSnake per essersi preso cura dell'exploit e per aver creato una pagina dimostrativa. 
1
1
06 Ago 2007
alle 09:08

Fashion♥Creative

Ciao Exploit volevo sapere se esiste un programma col quale si possa vedere l'ip delle persone che entrano nele stanze di Yahoo?

Per esempio ogni volta che entro appare questo:

Estás en Mùsica:4" ( We are currently recording IP addresses of all Yahoo! Chat users.] )

Lascia il tuo commento

Accedi con Facebook Esci da Facebook

Attendere la pubblicazione del commento

Articoli più letti

Seguici

Iscriviti ai nostri feed rss. Leggi in tempo reale tutti i post pubblicati dal blogger!

Post in evidenza su Blogosfere

Lega: Bossi indagato per truffa allo Stato

Crisi: nasce l'Asse Obama-Monti

Statali: costano 2.849 euro a cittadino

Grecia, Junker: "Atene resta nell'Eurozona"

Germania: Merkel sconfitta da Hannelore Kraft

Carovita: italiani schiacciati dai rincari