Test della correzione della sessione quando il cookie non è cambiato

Affinché ci sia una vulnerabilità di fissazione della sessione, il server che in qualche modo risparmia in qualche modo usa un input che tu (l'attaccante) può controllare come valore per l'ID di sessione. OWASP ha un pratico elenco :

• Token di sessione nell'argomento URL. (Questo è quello che hai provato, ma tieni presente che il parametro potrebbe avere qualsiasi nome e devi capire di cosa si tratta. Non deve essere SID .)
• Token di sessione in un campo modulo nascosto.
• ID sessione in un cookie. Poiché non puoi impostare i cookie su più domini, devi sfruttare qualche altra vulnerabilità per sfruttarli, come XSS o HTML injection (di un tag META).

Se il server imposta sempre un ID sessione da solo, senza coinvolgere alcun input utente nel processo, questo potrebbe non essere sfruttabile.

Potresti prendere in considerazione l'utilizzo di Burp e sovrascrivere il cookie emesso dal server (pre-auth) con il tuo valore.

Oppure, ancora più semplice, puoi avviare una richiesta con qualsiasi valore di cookie che scegli e convalidare se il server in qualsiasi punto lo modifica (una singola richiesta sarebbe sufficiente per controllare).

Hai già saputo che il valore del cookie non è cambiato dopo l'autenticazione, quindi il potenziale è sicuramente lì - sembra che tu abbia solo bisogno di elaborare i parametri giusti da usare.

Il modo in cui lo sfrutti effettivamente è un'altra cosa - ma sapere che ce n'è uno, e poi convenire che dovresti probabilmente seguire le raccomandazioni di OWASP e creare una nuova sessione sull'autenticazione, è metà della battaglia.