Хакер #305. Многошаговые SQL-инъекции
Уязвимость обнаружена в протоколе OSCAR,
используемом для обмена мгновенными
сообщениями в AOL и ICQ клиентах. Удаленный
пользователь может автоматически
определить имена пользователей AOL Instant Messenger.
OSCAR (Open System for Communication in Realtime) -
патентованный протокол, разработанный America
On-Line (AOL). Протокол используется всеми
версиями клиента AOL Instant Messenger (AIM) и
последними версиями ICQ (ICQ2000 и более поздние).
Вход в систему OSCAR состоит из TCP пакета,
который включает имя входящего в систему (screen
name), пароль и строку версии клиента.
После успешного входа в систему,
создаются куки, которые предоставляют
пользователю доступ к различным BOS серверам
в течение времени жизни сессии. Сеть AIM
состоит из двух видов серверов: Open System for
Communications in Real-time (OSCAR), который обрабатывает
пользовательские разрешения и Basic OSCAR Service (BOS),
который обеспечивает средства поиска
пользователей.
Aimhol -
программа, позволяющая автоматически
получить имена AOL Instant Messenger и связанные
данные (хобби, прозвища,...) запрашивая AOL OSCAR/BOS
сервера. Программа использует для
подключения 443 порт, который не фильтруют
большинство межсетевых защит.
Как работает программа?
Программа случайным образом выбирает "Last
Name" из списка 2150 наиболее
распространенных фамилий (расположенных в
файле surnames.inc), которые взяты отсюда,
или формирует случайную фамилию,
основанную на ODDS параметре (1 в 50), затем
посылает это BOS серверу как 'Find Buddy' запрос.
Все ответы заносятся в файл BUDDY.TXT в формате
TLV (Type)(Length)(Value):
(00,09)(00,NN)(Screen Name)
(00,08)(00,NN)(City)
(00,07)(00,NN)(State)
(00,06)(00,NN)(Country)
(00,02)(00,NN)(Last Name)
(00,01)(00,NN)(First Name)
Программа состоит из 5 файлов:
aimhol.asm Исходный код.
aimhol.exe Основная программа.
surnames.inc Список наиболее распостраненных
фамилий в США.
rand.inc Генерирует случайное число в
диапазоне [0-(MAX-1)]
misc_stuff.inc Полезные процедуры типа MD5, Winsock, и
т.д....
readme.txt Инструкция
