[Webmailsucker-developer] Re: e-post webmail retrieval

[Wolfgang W. <ww...@gm...>]

On Thursday 28 August 2003 10:40, Johannes Endres, c't wrote:
[Hmpf -- diese DUL-blacklists nerven mich... also nochmal]

> <ww...@us...> wrote:
> > Habe mir e-post angeschaut -- d=FCrfte alles recht
> > einfach sein bis auf einen Stolperstein:
> > Da wird eine AUTH - hash (SHA) mittels javascript
> > berechnet, in die alle m=F6glichen Strings eingehen,
> > inclusive Teile der URL und verschiedenste forms...
> > Diese wird anschlie=DFend 5-bit (A-Z,0-6) codiert.
>
> Und genau da liegt das Problem. Ich kann nur wenig JavaScript, habe aber
> trotzdem den Brute-Force-Ansatz angefangen, n=E4mlich die JS-Hash-Library=
 in
> Perl zu =FCbersetzen.=20
>
Ich kann recht gut C/C++ und habe auch schon gestern zum ersten Mal in JS=20
rumge"hackt".=20

Die Hash-routine ist recht einfach und in phsec.js untergebracht.=20
Sie nach C zu portieren und ein Hilfsprogramm zur Hash-Berechnung zu starte=
n=20
m=FCsste recht einfach sein. In Perl d=FCrfte das nicht viel komplizierter =
sein.=20

Man m=FCsste noch genau herausfinden, WAS alles verhasht wird -- das ist=20
n=E4mlich eine ganze Menge (siehe function SessionSubmit(window,form) in=20
phsec.js). Die beste M=F6glichkeit, die mir einf=E4llt, ist eine modifizier=
te=20
phsec.js zu schreiben, die entsprechende Info bei SHAPut() ausgibt, und sie=
=20
dem Browser unterzuschieben -- wie, das weiss ich noch nicht. Evtl im cache=
=20
modifizieren oder =FCber einen Proxy gehen, der das kann.=20

Der naheliegende Weg, mit Mozilla die ganze Seite zu Archivieren funktionie=
rt=20
nicht -- sie verweigert dann (bei mir) den Dienst.=20

> Die ist aber riesig und ich bin noch nicht sehr weit.
>
Riesig? Ich kann nur ein paar l=E4cherliche Zeilen code sehen!
Bitte nicht unn=F6tige Arbeit machen...

> Das gr=F6=DFte Problem wird werden, zu testen, ob die =DCbersetzung dasse=
lbe tut
> wie die originale Library.
>
Der Test ist einfach. Ich habe schon ein modifiziertes Script, in das man n=
ur=20
noch den richtigen AUTH code eintragen muss. Kann ich in den CVS laden,=20
falls ich access bekomme, s.u.=20

> Wenn Interesse besteht, kann ich das Dings ins CVS packen.
>
Okay, wenn ich nicht der einzige bin, der einen e-post sucker schreiben wil=
l,=20
dann k=F6nnte ich evtl developer-status bekommen... (Habe schon ein "wenig"=
=20
Erfahrung bei SF).=20

Gruss,
Wolfgang Wieser