4

Estou estudando sobre segurança em aplicativos web.

Para fins didáticos, loguei na minha do facebook e copiei o meu cookie de sessão ativo obtido no document.cookie, em seguida abri outro navegador, entrei na página principal do facebook (deslogado) e declarei document.cookie = meu cookie de sessão ativo no outro navegador em string.

Não funcionou. Então baixei uma extensão para Injetar Cookie manualmente. Copiei e coloquei todos os cookies da minha sessão ativa na extensão no outro navegador e também não funcionou.

Minha lógica era simples: Com um ID de sessão ativa válido sendo declarado no document.cookie o servidor deveria me levar para dentro da página de usuário ao dar refresh.

A minha dúvida é: em que ponto minha lógica esta errada e por que?

2
  • ninguem........?
    – ropbla9
    Commented 28/06/2015 às 14:21
  • Talvez o facebook use os dados do navegador para assinar os cookies. Eu mesmo já fiz isso.
    – Alexandre
    Commented 3/07/2015 às 1:10

2 Respostas 2

2

Para que funcione você precisa utilizar um header de User-Agent[Browser] Válido, Este tem que estar atualizado, Assim você pode usar a extensão live http headers[~Chrome] para obter os dados do pedido. Já fiz vários pedidos no Facebook, Apenas 2 cookies validam a sessão[O C_USER E O XS], Você pode utilizar todos[Time, Referer, etc]. pra entrar na conta do usuário ou não. Além de que o pedido deve ser feito através da porta do SSL[443].

EX de pedido:

GET / HTTP/1.1
Host: www.facebook.com:443
Cookie: c_user=4; xs=44%código+time; csm=2;
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/43.0.2357.130 Safari/537.36

É basicamente isso pra entrar no Facebook, O Facebook utiliza os outros Cookies pra monitorar sua atividade e logar em páginas visitadas, Assim como os campos Referer, E o tempo de visita.

Espero que tenha te ajudado e sido útil nesta resposta, Boa sorte!

2
  • Certo, os cookies eu sei, mas como faço a requisição no 443 e logo usando esses cookies?
    – ropbla9
    Commented 6/07/2015 às 0:45
  • Olá ropbla9, Você pode utilizar ferramentas de teste de rede pra executar o pedido, Linguagens de programação server side como PHP, Python ou Ruby, Ou então extensões que utilizam as funções do Google Chrome, Como a "Request Maker", Já pro Mozilla, Você pode utilizar a extensão HTTP Request Maker.
    – Mega
    Commented 10/07/2015 às 0:00
1
+50

Estranho perguntar, pois foi bem o que acabei de fazer no inicio desta manha, basicamente basta você preencher as variáveis veja quais são com o debug conforme imagem abaixo: inserir a descrição da imagem aqui

Depois disso basta carregar os cookies com os valores segue um exemplo:

function setCookie(cname,cvalue,exdays){
            var d = new Date();
            d.setTime(d.getTime()+(exdays*24*60*60*1000));
            var expires = "expires="+d.toGMTString();
            document.cookie = cname+"="+cvalue+"; "+expires;
        }

setCookie('c_user',1234567890);

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .