Publicado el 18/11/2011 12:11:00 en Hacking Web.
Author: 84kur10 | Total de votos: 1   Vote

Hotmail Bug

Un conocido me pidió ayuda para recuperar su contraseña de Hotmail ya que la había perdido y había intentado todas las opciones posibles sin éxito. Como no estaba familiarizado con el proceso de recuperación, le sugerí que fuera al apartado de "olvidé mi contraseña" y siguiera los pasos para recuperarla, incluyendo la opción de soporte de Hotmail.

Sin embargo, al no saber cómo hacerlo, me pidió que la ayudara. Entonces, tomé el proceso de recuperación de contraseña y se me pidió que ingresara el correo electrónico que se estaba intentando recuperar y una dirección de correo para enviar el enlace de recuperación o el seguimiento del soporte.

Ingresé el correo electrónico [email protected] por colocar un ejemplo, y le di click, lo que me llevo a un link parecido a este:

https://account.live.com/acsr/add?em=[b]correoarecuperar%40hotmail.com
&ed=malo%40hotmail.com[/b]&secret=Mother's birthplace&sol=xusnxv
&sig=fH6YYG9qQ4mQKT771GBAdWw%2bYj3VXnF5fs21%2fYVMJ%2bJMQeQmHiFqboWMZNBKmFAzfnRLCaGud53Iujqrr7dD6Q0HUaAr2ngWnF9qMpi5ubmBWCw%2fUIhgMDT6K1VyrEuVd5ZfD5xoax3EOjgy1ysNgA%3d%3d%3a1

Posteriormente, proporcioné el enlace de recuperación y ella completó la encuesta correspondiente. Sin embargo, para nuestra sorpresa, el enlace para restablecer la contraseña se envió al correo electrónico que ingresé incorrectamente, "[email protected]".

Este hecho nos dejó desconcertados ¿por qué se envió el enlace a esa dirección de correo?.


La conclusión a la que llegué es que se trata de un ataque XSRF, lo que significa que existe un problema en la plataforma de Hotmail. Es posible envenenar un enlace y enviarlo a la víctima para que ella complete sus datos. Si lo hace correctamente, el enlace de recuperación de contraseña llegará al correo electrónico de la otra persona. Si bien esto también puede lograrse mediante phishing, en este caso, todo el proceso es propio de Hotmail.

En resumen, para generar el enlace envenenado, es necesario seguir el proceso que mencioné antes y esperar unos 20 minutos después de que nadie visite el enlace para que deje de funcionar. Si el formulario se llena de manera incorrecta, solo se recibirá un enlace de seguimiento, pero si se llena de manera correcta, se recibirá el enlace de recuperación de contraseña de inmediato.

En un caso real, con un poco de ingeniería social, es posible enviar el enlace a la víctima por correo electrónico o cualquier otro medio. Si completa el formulario, el atacante tendrá acceso para cambiar la contraseña.

Este caso fué reportado directamente a soporte de microsoft, sin respuesta, pero finalmente no se volvió a presentar.