Cookies Hacking
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
I cookie hanno diversi attributi che controllano il loro comportamento nel browser dell'utente. Ecco un riepilogo di questi attributi in una voce più passiva:
La data di scadenza di un cookie è determinata dall'attributo Expires. Al contrario, l'attributo Max-age definisce il tempo in secondi fino a quando un cookie viene eliminato. Opta per Max-age poiché riflette pratiche più moderne.
I host che ricevono un cookie sono specificati dall'attributo Domain. Per impostazione predefinita, questo è impostato sull'host che ha emesso il cookie, senza includere i suoi sottodomini. Tuttavia, quando l'attributo Domain è esplicitamente impostato, comprende anche i sottodomini. Questo rende la specifica dell'attributo Domain un'opzione meno restrittiva, utile per scenari in cui è necessario condividere i cookie tra sottodomini. Ad esempio, impostando Domain=mozilla.org, i cookie diventano accessibili sui suoi sottodomini come developer.mozilla.org.
Un percorso URL specifico che deve essere presente nell'URL richiesto affinché l'intestazione Cookie venga inviata è indicato dall'attributo Path. Questo attributo considera il carattere / come un separatore di directory, consentendo corrispondenze anche nelle sottodirectory.
Quando due cookie hanno lo stesso nome, quello scelto per l'invio si basa su:
Il cookie che corrisponde al percorso più lungo nell'URL richiesto.
Il cookie impostato più di recente se i percorsi sono identici.
L'attributo SameSite determina se i cookie vengono inviati su richieste provenienti da domini di terze parti. Offre tre impostazioni:
Strict: Limita l'invio del cookie su richieste di terze parti.
Lax: Consente l'invio del cookie con richieste GET avviate da siti web di terze parti.
None: Permette l'invio del cookie da qualsiasi dominio di terze parti.
Ricorda, mentre configuri i cookie, comprendere questi attributi può aiutare a garantire che si comportino come previsto in diversi scenari.
Request Type
Example Code
Cookies Sent When
Link
<a href="..."></a>
NotSet*, Lax, None
Prerender
<link rel="prerender" href=".."/>
NotSet*, Lax, None
Form GET
<form method="GET" action="...">
NotSet*, Lax, None
Form POST
<form method="POST" action="...">
NotSet*, None
iframe
<iframe src="..."></iframe>
NotSet*, None
AJAX
$.get("...")
NotSet*, None
Image
<img src="...">
NetSet*, None
Tabella da Invicti e leggermente modificata. Un cookie con l'attributo SameSite mitigherà gli attacchi CSRF in cui è necessaria una sessione autenticata.
*Nota che da Chrome80 (feb/2019) il comportamento predefinito di un cookie senza un attributo SameSite sarà lax (https://www.troyhunt.com/promiscuous-cookies-and-their-impending-death-via-the-samesite-policy/). Nota che temporaneamente, dopo aver applicato questa modifica, i cookie senza una policy SameSite in Chrome saranno trattati come None durante i primi 2 minuti e poi come Lax per le richieste POST cross-site di livello superiore.
Questo impedisce al client di accedere al cookie (ad esempio tramite Javascript: document.cookie)
Se la pagina invia i cookie come risposta a una richiesta (ad esempio in una pagina PHPinfo), è possibile abusare dell'XSS per inviare una richiesta a questa pagina e rubare i cookie dalla risposta (controlla un esempio in https://hackcommander.github.io/posts/2022/11/12/bypass-httponly-via-php-info-page/.
Questo potrebbe essere bypassato con richieste TRACE HTTP poiché la risposta del server (se questo metodo HTTP è disponibile) rifletterà i cookie inviati. Questa tecnica è chiamata Cross-Site Tracking.
Questa tecnica è evitata dai browser moderni non permettendo l'invio di una richiesta TRACE da JS. Tuttavia, sono stati trovati alcuni bypass in software specifici come l'invio di \r\nTRACE invece di TRACE a IE6.0 SP2.
Un altro modo è lo sfruttamento di vulnerabilità zero-day dei browser.
È possibile sovrascrivere i cookie HttpOnly eseguendo un attacco di overflow del Cookie Jar:
È possibile utilizzare l'attacco Cookie Smuggling per esfiltrare questi cookie
La richiesta invierà solo il cookie in una richiesta HTTP solo se la richiesta viene trasmessa su un canale sicuro (tipicamente HTTPS).
I cookie con prefisso __Secure- devono essere impostati insieme al flag secure da pagine che sono protette da HTTPS.
Per i cookie con prefisso __Host-, devono essere soddisfatte diverse condizioni:
Devono essere impostati con il flag secure.
Devono provenire da una pagina protetta da HTTPS.
È vietato specificare un dominio, impedendo la loro trasmissione ai sottodomini.
Il percorso per questi cookie deve essere impostato su /.
È importante notare che i cookie con prefisso __Host- non possono essere inviati a superdomini o sottodomini. Questa restrizione aiuta a isolare i cookie dell'applicazione. Pertanto, utilizzare il prefisso __Host- per tutti i cookie dell'applicazione può essere considerata una buona pratica per migliorare la sicurezza e l'isolamento.
Quindi, una delle protezioni dei cookie con prefisso __Host- è quella di impedire loro di essere sovrascritti dai sottodomini. Prevenendo ad esempio Cookie Tossing attacks. Nella conferenza Cookie Crumbles: Unveiling Web Session Integrity Vulnerabilities (paper) è stato presentato che era possibile impostare cookie con prefisso __HOST- da un sottodominio, ingannando il parser, ad esempio, aggiungendo "=" all'inizio o all'inizio e alla fine...:
O in PHP era possibile aggiungere altri caratteri all'inizio del nome del cookie che sarebbero stati sostituiti da caratteri di sottolineatura, consentendo di sovrascrivere i cookie __HOST-:
Se un cookie personalizzato contiene dati sensibili, controllalo (soprattutto se stai partecipando a un CTF), poiché potrebbe essere vulnerabile.
I dati sensibili incorporati nei cookie dovrebbero sempre essere scrutinati. I cookie codificati in Base64 o formati simili possono spesso essere decodificati. Questa vulnerabilità consente agli attaccanti di alterare il contenuto del cookie e impersonare altri utenti codificando nuovamente i loro dati modificati nel cookie.
Questo attacco comporta il furto del cookie di un utente per ottenere accesso non autorizzato al proprio account all'interno di un'applicazione. Utilizzando il cookie rubato, un attaccante può impersonare l'utente legittimo.
In questo scenario, un attaccante inganna una vittima a utilizzare un cookie specifico per accedere. Se l'applicazione non assegna un nuovo cookie al momento del login, l'attaccante, in possesso del cookie originale, può impersonare la vittima. Questa tecnica si basa sul fatto che la vittima accede con un cookie fornito dall'attaccante.
Se hai trovato un XSS in un sottodominio o controlli un sottodominio, leggi:
Qui, l'attaccante convince la vittima a utilizzare il cookie di sessione dell'attaccante. La vittima, credendo di essere connessa al proprio account, eseguirà involontariamente azioni nel contesto dell'account dell'attaccante.
Se hai trovato un XSS in un sottodominio o controlli un sottodominio, leggi:
Clicca sul link precedente per accedere a una pagina che spiega i possibili difetti nei JWT.
I JSON Web Tokens (JWT) utilizzati nei cookie possono anche presentare vulnerabilità. Per informazioni approfondite sui potenziali difetti e su come sfruttarli, si consiglia di accedere al documento collegato sul hacking dei JWT.
Questo attacco costringe un utente autenticato a eseguire azioni indesiderate su un'applicazione web in cui è attualmente autenticato. Gli attaccanti possono sfruttare i cookie che vengono inviati automaticamente con ogni richiesta al sito vulnerabile.
(Controlla ulteriori dettagli nella ricerca originale) I browser consentono la creazione di cookie senza un nome, il che può essere dimostrato tramite JavaScript come segue:
Il risultato nell'intestazione del cookie inviato è a=v1; test value; b=v2;. In modo intrigante, questo consente la manipolazione dei cookie se viene impostato un cookie con nome vuoto, potenzialmente controllando altri cookie impostando il cookie vuoto a un valore specifico:
Questo porta il browser a inviare un'intestazione cookie interpretata da ogni server web come un cookie chiamato a con un valore b.
In Chrome, se un codice surrogato Unicode fa parte di un cookie impostato, document.cookie diventa corrotto, restituendo successivamente una stringa vuota:
Questo porta a document.cookie che restituisce una stringa vuota, indicando una corruzione permanente.
(Controlla ulteriori dettagli nella ricerca originale) Diversi server web, inclusi quelli di Java (Jetty, TomCat, Undertow) e Python (Zope, cherrypy, web.py, aiohttp, bottle, webob), gestiscono in modo errato le stringhe dei cookie a causa del supporto obsoleto di RFC2965. Leggono un valore di cookie racchiuso tra virgolette come un singolo valore anche se include punti e virgola, che normalmente dovrebbero separare le coppie chiave-valore:
(Controlla ulteriori dettagli nella ricerca originale) L'analisi errata dei cookie da parte dei server, in particolare Undertow, Zope e quelli che utilizzano http.cookie.SimpleCookie e http.cookie.BaseCookie di Python, crea opportunità per attacchi di iniezione dei cookie. Questi server non delimitano correttamente l'inizio di nuovi cookie, consentendo agli attaccanti di falsificare i cookie:
Undertow si aspetta un nuovo cookie immediatamente dopo un valore tra virgolette senza un punto e virgola.
Zope cerca una virgola per iniziare a analizzare il cookie successivo.
Le classi di cookie di Python iniziano a analizzare su un carattere di spazio.
Questa vulnerabilità è particolarmente pericolosa nelle applicazioni web che si basano sulla protezione CSRF basata su cookie, poiché consente agli attaccanti di iniettare cookie di token CSRF falsificati, potenzialmente eludendo le misure di sicurezza. Il problema è aggravato dalla gestione di nomi di cookie duplicati da parte di Python, dove l'ultima occorrenza sovrascrive quelle precedenti. Solleva anche preoccupazioni per i cookie __Secure- e __Host- in contesti insicuri e potrebbe portare a bypass di autorizzazione quando i cookie vengono passati a server di backend suscettibili alla falsificazione.
Secondo questo blogpost, potrebbe essere possibile utilizzare l'attributo del cookie $Version=1 per far sì che il backend utilizzi una logica obsoleta per analizzare il cookie a causa del RFC2109. Inoltre, altri valori come $Domain e $Path possono essere utilizzati per modificare il comportamento del backend con il cookie.
Questa analisi indica di disattivare l'escape dei valori all'interno dei cookie, quindi "\a" diventa "a". Questo può essere utile per bypassare i WAF poiché:
eval('test') => vietato
"\e\v\a\l\(\'\t\e\s\t\'\)" => consentito
Nell'RFC2109 è indicato che una virgola può essere utilizzata come separatore tra i valori dei cookie. È anche possibile aggiungere spazi e tabulazioni prima e dopo il segno di uguale. Pertanto, un cookie come $Version=1; foo=bar, abc = qux non genera il cookie "foo":"bar, admin = qux" ma i cookie foo":"bar" e "admin":"qux". Nota come vengono generati 2 cookie e come l'admin ha rimosso lo spazio prima e dopo il segno di uguale.
Infine, diverse backdoor si unirebbero in una stringa diversi cookie passati in intestazioni di cookie diverse come in:
Che potrebbe consentire di eludere un WAF come in questo esempio:
Il cookie è sempre lo stesso ogni volta che ti logghi.
Disconnettiti e prova a usare lo stesso cookie.
Prova a loggarti con 2 dispositivi (o browser) allo stesso account usando lo stesso cookie.
Controlla se il cookie contiene informazioni e prova a modificarlo.
Prova a creare diversi account con nomi utente quasi identici e controlla se puoi vedere somiglianze.
Controlla l'opzione "ricordami" se esiste per vedere come funziona. Se esiste e potrebbe essere vulnerabile, usa sempre il cookie di ricordami senza alcun altro cookie.
Controlla se il cookie precedente funziona anche dopo aver cambiato la password.
Se il cookie rimane lo stesso (o quasi) quando ti logghi, questo probabilmente significa che il cookie è legato a qualche campo del tuo account (probabilmente il nome utente). Allora puoi:
Provare a creare molti account con nomi utente molto simili e cercare di indovinare come funziona l'algoritmo.
Provare a bruteforce il nome utente. Se il cookie viene salvato solo come metodo di autenticazione per il tuo nome utente, allora puoi creare un account con nome utente "Bmin" e bruteforce ogni singolo bit del tuo cookie perché uno dei cookie che proverai sarà quello appartenente a "admin".
Prova Padding Oracle (puoi decriptare il contenuto del cookie). Usa padbuster.
Padding Oracle - Esempi di Padbuster
Padbuster farà diversi tentativi e ti chiederà quale condizione è la condizione di errore (quella che non è valida).
Poi inizierà a decrittografare il cookie (potrebbe richiedere diversi minuti)
Se l'attacco è stato eseguito con successo, allora potresti provare a crittografare una stringa a tua scelta. Ad esempio, se desideri encrypt user=administrator
Questa esecuzione ti darà il cookie correttamente crittografato e codificato con la stringa user=administrator all'interno.
CBC-MAC
Forse un cookie potrebbe avere un valore e potrebbe essere firmato utilizzando CBC. Quindi, l'integrità del valore è la firma creata utilizzando CBC con lo stesso valore. Poiché si raccomanda di utilizzare come IV un vettore nullo, questo tipo di controllo dell'integrità potrebbe essere vulnerabile.
L'attacco
Ottieni la firma del nome utente administ = t
Ottieni la firma del nome utente rator\x00\x00\x00 XOR t = t'
Imposta nel cookie il valore administrator+t' (t' sarà una firma valida di (rator\x00\x00\x00 XOR t) XOR t = rator\x00\x00\x00
ECB
Se il cookie è crittografato utilizzando ECB potrebbe essere vulnerabile. Quando accedi, il cookie che ricevi deve essere sempre lo stesso.
Come rilevare e attaccare:
Crea 2 utenti con quasi gli stessi dati (nome utente, password, email, ecc.) e prova a scoprire qualche modello all'interno del cookie fornito.
Crea un utente chiamato ad esempio "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa" e controlla se c'è qualche modello nel cookie (poiché ECB crittografa con la stessa chiave ogni blocco, gli stessi byte crittografati potrebbero apparire se il nome utente è crittografato).
Dovrebbe esserci un modello (con la dimensione di un blocco utilizzato). Quindi, sapendo come sono crittografati un gruppo di "a", puoi creare un nome utente: "a"*(dimensione del blocco)+"admin". Poi, potresti eliminare il modello crittografato di un blocco di "a" dal cookie. E avrai il cookie del nome utente "admin".
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
