เป็นที่ยอมรับโดยทั่วกันว่า เว็บไซต์ที่ให้บริการฟรีอีเมล์ทั้งหลายแหล่ มีระบบรักษาความปลอดภัยที่แข็งแกร่งมากๆ จึงทำให้แทบจะไม่มีความเป็นไปได้เลยที่ใครซักคนจะสามารถเจาะผ่านระบบดังกล่าวเพื่อเข้าไปขโมย Password ของ E-mail account ของคนอื่นได้ง่ายๆ
และแน่นอนครับ ในบทความนี้ผมจะไม่พูดถึงวิธีเจาะระบบที่แข็งแกร่งเข้าไปในเว็บเหล่านั้นแน่ๆ แต่ผมจะพูดถึง ช่องโหว่ ของโปรแกรม Internet Explorer ที่ทำให้ใครหลายๆ คนทั่วโลกต้องสูญเสีย E-mail account ของตนมาแล้ว แต่ก่อนอื่นผมต้องขอบอกก่อนนะครับว่า ช่องโหว่นี้ส่งผลกระทบกับผู้ที่ใช้โปรแกรม Internet Explorer ตั้งแต่เวอร์ชั่น 6.0 ลงไปเท่านั้น โดยในบทความนี้คุณจะต้องมีโปรแกรม IE เวอร์ชั่นตั้งแต่เวอร์ชั่น 6.0 ลงไปจึงจะสามารถชมการสาธิตวิธีที่ hacker ใช้ประโยชน์จากช่องโหว่นี้เพื่อขโมยพาสเวิร์ดของ Hotmail,Yahoo, Geocities, Thaimail, Chaiyo, ... ส่วนวิธีการจะเป็นอย่างไรนั้น เรามาเริ่มกันเลยดีกว่าครับ
ช่องโหว่ดังกล่าวเกิดขึ้นเมื่อผู้ใช้คลิกปุ่มซึ่งบรรจุโค้ดลักษณะนี้อยู่
เมื่อผู้ใช้คลิกปุ่มที่บรรจุโค้ดเหมือนข้างบนเป๊ะๆ หน้าต่างใหม่ก็จะถูกเปิดขึ้น และแสดงข้อมูลบนเว็บไซต์ http://www.myhost.com/fakemicrosoft.html แต่บน address bar จะเป็น http://www.microsoft.com หรือ กล่าวคือ ผู้ใช้จะถูกหลอกว่ากำลังดูเพจของ http://www.microsoft.com ทั้งๆ ที่ตนเองกำลังดูเพจที่ถูกปลอมแปลงขึ้นอยู่
เอาล่ะครับ เมื่อทราบช่องโหว่ดังกล่าวแล้ว ก็ลองมาคิดกันดูครับว่าเราจะประยุกต์ใช้มันอย่างไรกันดี อืม... เท่าที่ผมคิดออกนะครับ
1. สร้างหน้าหลอกๆ ของ hotmail ขึ้นมา (หรือเว็บฟรีอีเมล์อื่นๆ) แล้วเขียนโค้ดให้ user ส่ง E-Mail Address และ Password มาให้เรา
2. สร้างหน้าหลอกๆ ของระบบ login ของมหาวิทยาลัย แล้ว e-mail ไปบอกเหยื่อว่าทางงมหาวิทยาลัยให้นักศึกษาล็อกอินจากหน้านั้นเพื่อ update ข้อมูลโดยด่วน (แน่นอน e-mail address ที่คุณใช้ส่งไปหลอกเค้าต้องดูน่าเชื่อถือพอสมควร) โดยเหยื่อหารู้ไม่ว่ากำลังส่ง username และ password มาให้เรา
3. สร้างหน้าหลอกๆ ของระบบ sign in ของ geocities หรือ บริการ free webhosted อื่นๆ และแน่นอนส่ง e-mail ไปหลอกเหยื่อ และ username กับ password จะไปไหนเสีย
ยังมีอีกเยอะแยะครับ ที่ผมยังนึกไม่ออกตอนนี้ แต่ที่แน่ๆ มันสามารถประยุกต์ใช้ได้หลากหลายเหลือเกิน
