Modification des valeurs de cookie locales

Question

Je tente d'effectuer des tests de routine pour l'injection de valeur de cookie pour certaines de mes applications Web (ASP.NET, si cela finit par être important). J'essaye d'insérer du Javascript et du code spécifique de SQL pour ceci, mais ayant quelques problèmes.

je FireFox, IE 7 et 8, et Chrome. Le Add N Edit Cookies extension de FireFox ne me permettra pas de changer la valeur en n'importe quoi avec un point-virgule. Le IECookiesView de Nirsoft n'affichera pas le cookie spécifique que je cherche (le cookie d'identification de session d'ASP.NET).

Y a-t-il d'autres utilitaires pour éditer les cookies pour que je puisse tester cela? Mon Google-fu semble me manquer avec celui-ci.

Answer 1

Type de ceci dans votre barre d'adresse sur le site du cookie que vous souhaitez modifier. Gardez à l'esprit que document.cookie est différent en fonction du domaine que vous consultez actuellement. UNION ALL SELECT lname de l'employé ORDER BY au_lname

Edit: Bobince a raison sur le point-virgule, alors voici sql injection sans virgule.

javascript: document.cookie = "SESSID = 'mot de passe de sélection de l'union des utilisateurs où id = 1 -"; Tamperdata un addon pour firefox a pré-construit des chaînes d'injection SQL et xss que vous pouvez utiliser pour tester les demandes sortantes. Une autre option est Acunetix qui peut tester les variables du serveur http ainsi que les paramètres de cookie pour l'injection xss/sql et bien d'autres vulnérabilités. Le testeur Acuentix xss est gratuit. w3af et wapiti sont gratuits et open source mais ils ne testent pas les variables cookie.

Answer 2

Peut-être que vous pouvez essayer de modifier les requêtes sortantes http? comme avec l'extension modify headers.

Vous pouvez également examiner le problème uniquement du point de vue de l'analyse http et utiliser directement des outils de test http au lieu d'utiliser un navigateur. Je suis un développeur Java, donc JMeter et Solex viennent à l'esprit.

Je suppose que modifier les cookies directement sera un problème, puisque les extensions ont tendance à être conformes à http, comme vous l'avez découvert avec Add N Edit Cookies. Vous pouvez essayer de modifier le fichier de cookies directement et espérer que firefox l'accepte, mais ça sonne un peu flou.

Answer 3

; ne peut pas exister dans une valeur de cookie. Il est impossible de le définir dans une en-tête Set-Cookie ou une affectation document.cookie car il s'agirait d'un séparateur et il n'existe pas de schéma d'échappement standard pour mettre des caractères hors bande dans un cookie.

Vous auriez besoin d'un client ou d'un module complémentaire personnalisé pour envoyer des en-têtes de requête Cookie:, y compris des points-virgules; un navigateur standard ne le ferait pas.