Funcionamiento de la sesion de Windows Live (Hotmail)

[andres52]

Un saludo a todo el foro, aclaro que mi duda NO es sobre hacking hotmail ni nada parecido. Es solo una pregunta técnica sobre el funcionamiento de las cookies. Si lo puse en la sección incorrecta, lo he hecho sin la intención de afectar al foro y con gusto aceptaré que sea movido a la sección correcta.

Escuche que robando la cookie (método ahora obsoleto) era posible logearse para siempre en una cuenta de hotmail, aún si el usuario cambiaba su contraseña. ¿Y si tenemos ya su contraseña, pero queremos asegurarnos que no la perderemos? ¿Como puedo obtener la cookie y utilizarla? Muchas gracias.

[~ Yoya ~]

las cookies almacenan informacion, puede ser de un usuario con su user y pasword, puede ser un texto con cualquier informacion, las cookies mayormente se usa para obtener esa informacion y compararla con otra en caso de un cpanel, tambien se puede usar para verificar que si tal cookies existe y hacer tal cosa....

Las cookies almacena informacion que se les manda.

[LastDragon]

Un saludo a todo el foro, aclaro que mi duda NO es sobre hacking hotmail ni nada parecido. Es solo una pregunta técnica sobre el funcionamiento de las cookies. Si lo puse en la sección incorrecta, lo he hecho sin la intención de afectar al foro y con gusto aceptaré que sea movido a la sección correcta.

Escuche que robando la cookie (método ahora obsoleto) era posible logearse para siempre en una cuenta de hotmail, aún si el usuario cambiaba su contraseña. ¿Y si tenemos ya su contraseña, pero queremos asegurarnos que no la perderemos? ¿Como puedo obtener la cookie y utilizarla? Muchas gracias.

las cookies aun cuando funcionaban , no se si ya no lo hagan....

solo tienen un tiempo de vida en el servidor, no te serviria para "siempre", solo por unas horas o incluso antes si el usuario de hotmail le da cerrar sesion el servidor caduca la cookie inmediatamente.... la unica forma en que una cookie te puede servir por unas horas es que cierre el navegador sin cerrar sesion

el año pasado aun servia ese tipo de intrusion en gmail, si capturas la cookie puedes ingresar a todo los servicios de google, no se si google ya hara reparado ese detalle, mas bien no reparado, hacerlo correctamnete...

robar un cookie se vuelve absurdo si la ligas con la ip de quien autentico, de forma que aunque tengas la cookie si no tienes la ip no deberia suceder nada...aun no entiendo porque hotmail y google y muuuuchos otros servicios simplemente no ligan la cookie a la ip

[andres52]

Gracias por sus respuestas, duda contestada (:

[WHK]

es muy dificil evitar que alguien con u cookie no pueda ingresar al sitio web.

el ataque que comenta andres es sobre uno de los tantos xss que han habido en hotmail, y si logras obtener las cookies además del user agent del explorador podrás ingresar en la sesión sin problemas aunque no hayas activado la caducación de sesion.

Cuando inicias sesión en gmail, yahoo o hotmail te dan una cookie y esa cookie expira cada x cantidad de tiempo pero si logras capturar esa cookie antes que caduque puedes inyectar su contenido en el explorador y aumentar el tie,po de sesión. Recuerda que el tiempo de expiración de las sesiones no son controladas por el servidor sino por el explorador, por lo tanto basta tener el contenido de la cookie para inyectar el contenido en tu explorador sin caducación y por si las dudas te modificas el user agente como lo puede hacer fi8refox y el complemento "modify headers".

Haz la prueba e inicia sesión en hotmail, luego cambia de ip y abre hotmail otraves, te darás cuenta que la sesión no ha caducado y es porque el servidor solo verifica los valores de tu cookie y talves realiza algún checkeo con el user agent.

Los headers enviados son exactamente los mismos a que si lo hicieras desde la consola con telnet o netcat asi que si puedes hacerlo sin explorador entonces significa que puedes hacerlo desde cualquier explorador y mayor aun, sin la necesidad de que sea la misma pc.

Hace tiempo ingresaba de esa forma a los paneles de administración de phpnuke ya que esos sistemas están apestados de xss y las cookies por mas que caduquen siempre puedes manipularlas ya que el servidor no es el que las verifica el tiempo de caducación  sino el explorador.