Ho scoperto che un'applicazione web consente l'impostazione di determinati valori di cookie attraverso i parametri di richiesta. Ogni richiesta param risulta in un'intestazione Set-Cookie separata. ad esempio una richiesta come questa:
/url?cookie1=first_value&cookie2=second_value
restituisce le seguenti intestazioni:
Set-Cookie: cookie1=first_value
Set-Cookie: cookie2=second_value
Queste intestazioni vengono visualizzate dopo l'intestazione del cookie id di sessione, quindi suppongo che dovrei essere in grado di correggere la sessione utilizzando un valore cookie simile al seguente
first_value; another_cookie=another_value
URL che codifica i segni spazio, punto e virgola e uguale. Tuttavia, una volta che l'app vede il punto e virgola, viene semplicemente troncato fino a quel punto, quindi l'intestazione della risposta diventa:
Set-Cookie: first_value
La mia domanda è, quali altri delimitatori potrebbero accettare un browser o quali metodi potrebbero consentire il bypass del filtro.