Analizando una cookie

Iniciado por Ambr0si0, 3 Marzo 2011, 02:19 AM

0 Miembros y 1 Visitante están viendo este tema.

Ambr0si0

Buenas, mediante una vulnerabilidad XSS he conseguido injectar codigo javascript, el problema que tengo es que cuando hago un alert(document.cookie) me aparece todos los campos excepto uno, el phpsessid. Utilizando el tamperdata(addon del firefox) veo que cuando se conecta al servidor envia la cookie con todos los campos que me muestra document.cookie mas el PHPESSID, el cual no me aparece. Y claro no tengo de ideda de donde podria obtener este string en javascript.

Haber si me podeis hechar una mano, y me recomendais algun manera por donde tirar que estoy bastante bloqueado.

Saludos y gracias.
I'll tell you something about good-looking people, we're not well-liked.

Ambr0si0

Despues de comerme mucho la cabeza he visto que el PHPESSID  tiene el atriubuto HttpOnly, con lo que vamos jodidos.
Existe alguna manera de poder obtener este valor?

Saludos.
I'll tell you something about good-looking people, we're not well-liked.

#!drvy

Hola,

Segun mis conocimientos el PHPSESSID es una cookie la cual apunta a una session (Que se guarda en el servidor y no en el PC del usuario).

Diferencias entre session y cookie




Saludos

Ambr0si0

Si exacto. Gracias.
Y para suplantar a la victima en nesario ese valor
Voy a poner una imagenes para ilustrar el problema:

Primero el servidor mediate un set me manda esta cookie:
http://img7.imageshack.us/i/99791416.gif

y cuando me logueo el servidor me envia estos otros campos:
http://img696.imageshack.us/f/58140809.gif

Como tiene el atributo httponly segun leo en la wikipedia:
HttpOnly cookie is still in IETF draft[8], though most of the modern browsers support it. On a supported browser, a HttpOnly cookie will only be used when transmitting HTTP (or HTTPS) requests, but the cookie value is not available to client side script, hence mitigate the threat of cookie theft via Cross-site scripting.

Es bueno saber que alguno sitios ponen empeño que en la seguridad, y eso que en este caso solo se trata de un juego.

Y la pregunta es y ahora por donde podemos seguir investigando.

Saludos!
I'll tell you something about good-looking people, we're not well-liked.

~ Yoya ~

Mi madre me dijo que estoy destinado a ser pobre toda la vida.
Engineering is the art of balancing the benefits and drawbacks of any approach.