[Webmailsucker-developer] Re: e-post webmail retrieval

[Johannes E. c't <joh...@ct...>]

--On Donnerstag, August 28, 2003 16:44:18 +0200 Wolfgang Wieser=20
<ww...@gm...> wrote:

> On Thursday 28 August 2003 10:40, Johannes Endres, c't wrote:
>> <ww...@us...> wrote:
>> > Habe mir e-post angeschaut -- d=FCrfte alles recht
>> > einfach sein bis auf einen Stolperstein:
>> > Da wird eine AUTH - hash (SHA) mittels javascript
>> > berechnet, in die alle m=F6glichen Strings eingehen,
>> > inclusive Teile der URL und verschiedenste forms...
>> > Diese wird anschlie=DFend 5-bit (A-Z,0-6) codiert.
>>
>> Und genau da liegt das Problem. Ich kann nur wenig JavaScript, habe aber
>> trotzdem den Brute-Force-Ansatz angefangen, n=E4mlich die =
JS-Hash-Library
>> in Perl zu =FCbersetzen.
>>
> Ich kann recht gut C/C++ und habe auch schon gestern zum ersten Mal in JS
> rumge"hackt".
>
> Die Hash-routine ist recht einfach und in phsec.js untergebracht.
> Sie nach C zu portieren und ein Hilfsprogramm zur Hash-Berechnung zu
> starten  m=FCsste recht einfach sein. In Perl d=FCrfte das nicht viel
> komplizierter sein.

Perl ist mir deutlich lieber, weil ein C-Plugin zu getrennten Binary und=20
Source-Versionen f=FChren w=FCrde und derlei mehr.

> Man m=FCsste noch genau herausfinden, WAS alles verhasht wird -- das ist
> n=E4mlich eine ganze Menge (siehe function SessionSubmit(window,form) in
> phsec.js). Die beste M=F6glichkeit, die mir einf=E4llt, ist eine =
modifizierte
> phsec.js zu schreiben, die entsprechende Info bei SHAPut() ausgibt, und
> sie  dem Browser unterzuschieben -- wie, das weiss ich noch nicht. Evtl
> im cache  modifizieren oder =FCber einen Proxy gehen, der das kann.

Ja, das geht definitiv mit Proxomitron http://www.proxomitron.info/ (unter=20
Windows)

>> Die ist aber riesig und ich bin noch nicht sehr weit.
>>
> Riesig? Ich kann nur ein paar l=E4cherliche Zeilen code sehen!
> Bitte nicht unn=F6tige Arbeit machen...

Hmm, ich sitze nicht am Dev-Rechner, aber ich erinnere mich, dass das ganze =

JavaScript in zwei Dateien steckt. Und die eine davon enthielt eine riesige =

Sammlung an Hilfsfunktionen.

>> Das gr=F6=DFte Problem wird werden, zu testen, ob die =DCbersetzung =
dasselbe
>> tut wie die originale Library.
>>
> Der Test ist einfach. Ich habe schon ein modifiziertes Script, in das man
> nur  noch den richtigen AUTH code eintragen muss. Kann ich in den CVS
> laden,  falls ich access bekomme, s.u.
>
>> Wenn Interesse besteht, kann ich das Dings ins CVS packen.
>>
> Okay, wenn ich nicht der einzige bin, der einen e-post sucker schreiben
> will,  dann k=F6nnte ich evtl developer-status bekommen... (Habe schon =
ein
> "wenig"  Erfahrung bei SF).

Das geht wohl. Vielleicht machen wir daraus gleich einen Task und dich zum=20
Zust=E4ndigen.

--=20
Johannes Endres
Redakteur/editor
c't - Magazin fuer Computertechnik   http://www.ctmagazin.de
Helstorfer Str. 7                    phone +49 (0)511 5352 300
D-30625 Hannover, Germany            fax   +49 (0)511 5352 417