B
bay
Новичок
topsale.boom.ru
Вот здесь лежит письмо( выложил на сервак, чтоб все видели оригинал) которое я получил типа от security@ebay.com
Все вроде бы ничего, выглядит как от ибэя, все как положено, но меня насторожило что ничем незаконным я не занимался, и никто кроме меня не заходит на мой акк.
Тут я нажал ресурс кода в The Bat! Чтоб убедиться что это
И увидел следующее:
X-Apparently-To: здесь мой адрес@yahoo.com via 206.190.38.221; Mon, 18 Oct 2004 21:55:33 -0700
X-YahooFilteredBulk: 69.31.1.141
X-Originating-IP: [69.31.1.141]
Return-Path: <security@ebay.com>
Received: from 69.31.1.141 (EHLO fuse1.fusemail.net) (69.31.1.141)
by mta137.mail.re2.yahoo.com with SMTP; Mon, 18 Oct 2004 21:55:33 -0700
Received: from fusemail.com
by fuse1.fusemail.net with asmtp (FuseMail extSMTP)
id 1CJm1p-0002Nx-4L
for мойадрес@yahoo.com; Mon, 18 Oct 2004 23:55:21 -0500
From: "eBay Inc." <security@ebay.com>
To: "Gotoidea" <ваш адрес@yahoo.com>
Subject: security check: Account accessed by a third party.
Date: Tue, 19 Oct 2004 00:55:29 -0400
Reply-To: "eBay Inc." <security@ebay.com>
MIME-Version: 1.0
X-Priority: 3 (Normal)
Importance: Normal
X-Mailer: EM: 4.41.0.655
Content-Type: multipart/alternative; boundary="----_PartID_444239329753803"
Content-Length: 2438
Check All Email Accounts Anywhere!
Check your POP3 and webmail account
from any PC. With no ads
www.fusemail.com
Content-Type: text/html; charset="ISO-8859-1"
Content-Transfer-Encoding: quoted-printable
Анализ:
1. Смотрим стоку X-Originating-IP: и X-Originating-IP:
Она всегда покажет настоящий айпишник, которыый юзал почту свою даже для отправки спами, и даже если он подменил отправителя! ( ну, страну то точно можно узнать, по любому whois сервису,) Whois показал:
OrgTechHandle: INE1-ARIN
OrgTechName: IP Network Engineering
OrgTechPhone: +1-866-447-4662
OrgTechEmail: ipeng@nlayer.net
OrgName: BuddyProfile
OrgID: BUDDY-1
Address: 10712 N Kenwood
City: Kansas City
StateProv: MO
PostalCode: 64155
Country: US
Вот первое док-во , что не
2. eceived: from 69.31.1.141 (EHLO fuse1.fusemail.net) (69.31.1.141)
by mta137.mail.re2.yahoo.com with SMTP; Mon, 18 Oct 2004 21:55:33
Тут еще написан настоящий домен fuse1.fusemail.net Идем на fusemail.net Батюшки, да это же простой халявный сервак ............вот что это гад юзает. Это было второе доказательство.
3. Ссылка в письме "от ибэя" имеет вид
signin.ebay.com
Но это только то , что отображает браузер , на самом деле она ведет на страницу
вот, можете сами нажать и убедиться ( смотрите письмо от которое я выложил на сервер)=ссылка вверху самом
А выглядит тэг с заменой адреса вот так
</font>
<BR xmlns:x=3D"urn:schemas-microsoft-com:xslt"><BR xmlns:x=3D"urn:schemas-microsoft-com:xslt">
Только пока я писал пост, этот кулхацкер уже удалил почему0-то эту страницу,, либо его удалили........:lol:
А страница выглядела так, как когда регистрируешь акк на , где карту забить надо.... и пассворды с почтой........
Вот и третье доказательство,
Вобщем, ребята, смотрите внимательно от кого письма приходят, ......
О! забыл, можно даже сделать так, чтоб адрес в адресной строке вы видели ибэевский!!! Тогда совсем лохануться можно,
Главное, смотрите код HTML и жмите почаще F9 В The Bat! Тогда будете работать как сэйфмоуд виндовс.
Если что забыл написать, дополняйте.
