README.txt

   1 If you forgot the password of your pop3 account but you remember the rule or
   2 the pattern you used to create it, crackpop can help you to recover the
   3 password.
   4
   5 Just build up a regular expression that you think matches the password and
   6 crackpop will try to generate all the strings matchable by the regular
   7 expression and try to access your pop3 account with them.
   8
   9 As an example let's try to hack Randall Munroe's account:
  10
  11   $ ./crackpop.py \
  12       --host popmail.xkcd.example.net \
  13       --user randall \
  14       --pattern "[Cc]orrect [Hh]orse [Bb]attery [Ss]taple"
  15
  16
  17 DEPENDENCIES
  18
  19 crackpop uses the 'exrex' python module, in case it is not packaged for your
  20 system you can get it with 'pip'; example for Debian based systems:
  21
  22   $ sudo aptitude install python-pip
  23   $ sudo pip install exrex
  24
  25
  26 NOTE
  27
  28 The program always prints out the error status on failed authentication
  29 attempts in order to let the user know what is going on.
  30
  31 This is because some POP3 servers may be more creative than others, and
  32 sometimes it is possible to differentiate between authentication events only
  33 by looking at the error message.
  34
  35 For instance popmail.libero.it is quite weird, this is what happens:
  36
  37   - When the username is wrong the server replies with and expected:
  38
  39       -ERR [AUTH] invalid user or password
  40
  41   - When the username is right but the password is wrong the server replies
  42     with an information-leaking:
  43
  44       -ERR ERROR 119 invalid user or password err 30
  45
  46   - When the password is right the server replies with:
  47
  48       -ERR [AUTH] POP3 access not allowed
  49
  50     because it does not allow POP3 operations from users on networks different
  51     from its own (but it still allows _connections_ from other networks tho).
  52
  53 Yes, with pomail.libero.it it is possible to differentiate the "invalid user"
  54 case from the "invalid password" one.
  55
  56 Have fun!