Intentando predecir sesiones.... ayuda!!

[sirdarckcat]

puedes iniciar sesion si ya estas logueado?

[yeikos]

no, en vez de iniciar una nueva sesión, utiliza ya que la se abrió.

De todas maneras el problema es que no se puede alterar el valor de SID via GET/POST para así poder predefinirlo nosotros.

[sirdarckcat]

no, en vez de iniciar una nueva sesión, utiliza ya que la se abrió.

De todas maneras el problema es que no se puede alterar el valor de SID via GET/POST para así poder predefinirlo nosotros.

Si puedes averiguar el sesid de una sesion "actual" tuya, puede que se pueda

1 cierra la sesion al usuario (destruye su sesion)
2 inicia la sesion al usuario con tu cuenta (si se protege con CSRF no vas a poder =/)
2.5 obten el id de esa sesion (en google y live.com se puede xD tendras que investigar en la web de tu victima)
3 obliga al usuario a iniciar sesion (sin destruir la sesion existente)
4 reusa la sesion del punto #2 y estas con su sesion

Saludos!!

[yeikos]

2 inicia la sesion al usuario con tu cuenta

Ahí está el problema, no se exactamente como lo harias tu, pero por lo que he comprobado no es posible.

PD: Tuenti era y sigue siendo propenso a ataques XSS .

[sirdarckcat]

<form method=post action=tuenti.com/login><input name=user value=yeikos><input name=pass value=secreto><script>document.forms[0].submit()</script>

[yeikos]

Vale, ya se por donde vas, pero el problema es el que te comenté, que una vez se ha iniciado una sesión, no se podrá crear otra sesion hasta que la primera sesión no haya experiado o haya sido eliminada.

PD: No se envien un mensaje a si mismo en el tuenti, no os hará gracia... xd

[Constantinoplero]

¿Wireshark serviría para crackear MD5, no?

P.D.: Creo que no es demasiado tarde para publicar en este tema.