2006年11月10日星期五

利用微软Live注册漏洞 抢注Live帐号详细分析



今天互联网上很热闹,大家都开心地得到了自己向往已久的LiveID,毕竟很多朋友由于注册晚了ID号会变得很长很长:比如~UserName+UserBirthday@hotmail.com  通常我们看到的Hotmail ID就是这么回事了!呵呵 由于我自己的帐号比较好 所以也无所谓啦! 原来: JasonIT [#] MSN.com 现在注册到  JasonIT [#] Live.com  比了一下 还多一个字母呢。


如何注册到Live ID:


按正规途径打开LiveID注册页面其中只有Hotmail.com的注册,其实是微软关闭了新Live的ID帐号注册,但是还可以通过Bug来注册:


打开
http://get.live.com/getlive/overview 等页面Loading结束,在浏览器中输入以下代码,按回车:



输入以下代码:(注意:他们是一行)

javascript: var p = 'live.'; var ds = new Array('com', 'cn', 'fr', 'it', 'nl'); for (var i = 0; i < ds.length; i ++){document.getElementById('idomain').options = new Option(p + ds, p + ds)} alert('domains added');

 

然后我们可以看见 Live.com和其他域名的注册了,下面按照系统要求信息填写顺利得到ID。


如果学过编程语言或者HTML或者CSS或者....你会发现以上代码的原理!其实很简单。下面我修改了一下部分代码得到结果:






我们可以看见,我可以从这个LiveID注册的地方 轻易得到任何域名的LiveID帐号!于是乎,我得到了: JasonIT @
Microsoft.com  以及  JasonIT @ Google.com 的帐号了. 不过 你不要激动 不要急着给我留言要我给你代码~ 听我说下去:


我和Dash仔细研究了一下,可以说这个也算不上是什么大的Bug了。首先,按照原理 是不能注册除了Microsoft
Passport
以外域名的帐号的!现在可以注册,我们称其Bug。然后,详细研究代码原理你就发现没什么了,只是说利用代码打开方便之门。最重要的是:按照正常手续,我们注册其他域名为LiveID时候是需要Email验证的。可是这次没有验证....


我们还发现以下状况:


1, 无法用任意域名的地址登陆Hotmail 或者说Live Mail


2, 可以“暂时”使用该ID 登陆MSN, 但是不可以更改昵称!可以修改备注里的信息,可以修改头像


为什么说暂时呢?因为 你的地址没有得到验证,我们不知道微软的策略如何,怀疑有可能会被删号。


而且你聊天的时候会显示:


该电子邮件未通过验证……




3, 在你登陆MSN之后 系统会有提示:请验证你的Email地址。因为你的Email是“偷”来了 因此无法验证!




4, 可以使用MSn Space。


5, 以上所有都是在测试 非Microsoft Passport 域名的帐号,如果你注册的是Live.com 那么没问题!你可以合理的登陆你的新Live邮箱了。


所以最后还是说一句,不要注册非Microsoft Passport
域名的帐号。注册到了 其实也只是一个虚名,毕竟随时可能被MS删号。


没有评论: