Robo de cookies con ataque XSS

[kutcher]

Buenas. tengo una duda respecto a este tipo de ataques suponiendo que un atacante logre ejecutar algún tipo de script con el objetivo de robarme los cookies si en el caso de lograr esto el atacante podría iniciar sesión automáticamente en mis cuentas como facebook, gmail etc... ¿ Como es posible esto?

Si yo deshabilitara estas opciones en mi navegador podría evitar esto:

*Habilitar la función Autocompletar para rellenar formularios web con un solo clic
*Preguntar si quiero guardar las contraseñas que he introducido en la Web

Saludos

[engel lex]

con los cookies hay un chance de lograrlo, pero muchos servicios tienen proteccion contra esto... si no, no podría iniciar sesión, incluso no sabría tu contraseña, simplemente tendría tu sesión abierta y listo

Si yo deshabilitara estas opciones en mi navegador podría evitar esto:

*Habilitar la función Autocompletar para rellenar formularios web con un solo clic
*Preguntar si quiero guardar las contraseñas que he introducido en la Web

hay un chance de protección con eso deshabilitado, ya que con un jscript malicioso se pueden explotar esos datos...

[MinusFour]

Me imagino que podría robarte la cookie de session que utiliza PHP y así suplantar la sesión pero no estoy muy seguro si hagan algúna comprobación por IP también o algo parecido.

[engel lex]

algunos hacen verificación de user agent por varios medios, debido a que la ip puede cambiar y es difícil escapar a algunos medios de detección de eso, por otro lado si la ip es de otro país también sospechan

[dantemc]

La única protección que conozco para evitar el acceso a la cookie es el parámetro HttpOnly, que impide que el javascript acceda a las cookies.

[xDie]

Si el cookie grabber sirve para sistemas viejos, ahora te detectan al toque, en su tiempo lindos hacks de foros y boludeces igual siempre intentalo

[kutcher]

Gracias por sus respuestas logre informarme mas al respecto

[Swain]

No hace mucho probe robar Cookies pero desde WIFI consiguiendo los GET y POST de la gente y poniendolo esos datos en mi navegador
y pude acceder sin problemas a outlook y facebook de esa gente.
Nose si funcionara de la misma manera con XSS (hace como 5 años que no lo hago con ese sistema).
Creo que si la falla XSS esta en ese sistema (robar cookies de Facebok desde Facebook) no puedes evitarlo, indirectamente quizas si, a lo mejor deberias intentar usar navegacion privada para evitar que se mezclen las cookies y se guarden.