home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / netscape_passwd.txt < prev    next >
Encoding:
Text File  |  1999-03-24  |  2.8 KB  |  79 lines
  1. Possible Netscape Crypto Security Flaw
  2.  
  3. Haze (Haze@BEER.COM)
  4. Sun, 14 Feb 1999 21:13:46 -0600 
  5.  
  6. When you go into Netscape Messenger and check your mail, the software
  7. stores the password you used in the registry and encrypts it. It remains
  8. there for as long as netscape is open. The login and password is kept
  9. in:
  10. HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\biff\users\
  11. username(varies)\servers\<mail server>
  12.  
  13. Here is the scenario...
  14.  
  15. Let's say Regular Joe A runs Netscape and then checks his email first
  16. off...
  17. He checks it,enters his password, and his password is stored in the
  18. registry...
  19. Let's say after he gets done checking his mail, he doesn't close
  20. netscape and decides
  21. to browse the web. He comes up along Malicious Site A which contains a
  22. malicious
  23. javascript code to read his local registry files and retrieve his mail
  24. server login(unencrypted), encrypted password, and his mail server. Well
  25. then the cracker could perform a brute force crack on the encryption and
  26. attempt to gain access to the Regular Joe A's ISP and/or pop3 e-mail
  27. account...
  28.  
  29. ---------------------------------------------------------------------------
  30.  
  31. Re: Possible Netscape Crypto Security Flaw
  32.  
  33. HD Moore (hdmoore@USA.NET)
  34. Tue, 16 Feb 1999 13:02:08 -0600 
  35.  
  36. First of all, if someone can access your registry files via a
  37. javascript, you have worse problems to deal with.
  38.  
  39. The storing of the mail password in the registry was mentioned in a post
  40. of mine that can be found at:
  41. http://geek-girl.com/bugtraq/1998_4/0344.html
  42.  
  43. The password is *still* in the registry after you close netscape,
  44. keeping netscape open is not required.  If they could access your
  45. registry files to begin with, why not save the trouble of digging it out
  46. and just snag prefs.js / preferences.js?
  47.  
  48. Anyways, my 2 cents..
  49.  
  50. -HD
  51.  
  52. ---------------------------------------------------------------------------
  53.  
  54. Re: Possible Netscape Crypto Security Flaw
  55.  
  56. Pete Krawczyk (pkrawczy@UIUC.EDU)
  57. Tue, 16 Feb 1999 11:07:05 -0600 
  58.  
  59. At 09:13 PM 2/14/99 -0600, Haze wrote:
  60. >Well
  61. >then the cracker could perform a brute force crack on the encryption and
  62. >attempt to gain access to the Regular Joe A's ISP and/or pop3 e-mail
  63. >account...
  64.  
  65. To get to the POP3 account, you'd only need to put the password in a
  66. registry key of your own, then check the mail.  I would imagine that the
  67. key to encrypt is the same across all copies of Netscape.
  68.  
  69. Along those lines, if you had a sniffer next to the computer you put the
  70. encrypted password on, you could sniff the real password in transit and
  71. thus not have to brute force attack the password, since POP3 is cleartext
  72. traffic.
  73.  
  74. -Pete K
  75. --
  76. Pete Krawczyk                          http://www.uiuc.edu/ph/www/pkrawczy/
  77.  pkrawczy at uiuc dot edu         Finger the 2nd address for PGP Public Key
  78.  petek at bsod dot net     "No spammies, no spammies, no spammies... stop!"
  79.