Уязвимость обнаружена в протоколе OSCAR,
используемом для обмена мгновенными
сообщениями в AOL и ICQ клиентах. Удаленный
пользователь может автоматически
определить имена пользователей AOL Instant Messenger.

OSCAR (Open System for Communication in Realtime) -
патентованный протокол, разработанный America
On-Line (AOL). Протокол используется всеми
версиями клиента AOL Instant Messenger (AIM) и
последними версиями ICQ (ICQ2000 и более поздние).
Вход в систему OSCAR состоит из TCP пакета,
который включает имя входящего в систему (screen
name), пароль и строку версии клиента.

После успешного входа в систему,
создаются куки, которые предоставляют
пользователю доступ к различным BOS серверам
в течение времени жизни сессии. Сеть AIM
состоит из двух видов серверов: Open System for
Communications in Real-time (OSCAR), который обрабатывает
пользовательские разрешения и Basic OSCAR Service (BOS),
который обеспечивает средства поиска
пользователей.

Aimhol -
программа, позволяющая автоматически
получить имена AOL Instant Messenger и связанные
данные (хобби, прозвища,...) запрашивая AOL OSCAR/BOS
сервера. Программа использует для
подключения 443 порт, который не фильтруют
большинство межсетевых защит.

Как работает программа?

Программа случайным образом выбирает "Last
Name" из списка 2150 наиболее
распространенных фамилий (расположенных в
файле surnames.inc), которые взяты отсюда,
или формирует случайную фамилию,
основанную на ODDS параметре (1 в 50), затем
посылает это BOS серверу как 'Find Buddy' запрос.
Все ответы заносятся в файл BUDDY.TXT в формате
TLV (Type)(Length)(Value):

(00,09)(00,NN)(Screen Name)

(00,08)(00,NN)(City)

(00,07)(00,NN)(State)

(00,06)(00,NN)(Country)

(00,02)(00,NN)(Last Name)

(00,01)(00,NN)(First Name)

Программа состоит из 5 файлов:

aimhol.asm Исходный код.

aimhol.exe Основная программа.

surnames.inc Список наиболее распостраненных
фамилий в США.

rand.inc Генерирует случайное число в
диапазоне [0-(MAX-1)]

misc_stuff.inc Полезные процедуры типа MD5, Winsock, и
т.д....

readme.txt Инструкция

Оставить мнение